這起事件真正值得警戒的，不只是「AI 也會駭客攻擊」，而是攻擊者已把漏洞研究、建立目標清單、驗證弱點與橫向擴張拆成可平行執行的工作。當入侵變成大量代理協作的流水線，防守方原本以天計算的修補窗口，可能縮短到小時甚至分鐘。
事件背景：兩個漏洞串成遠端入侵入口
《The Register》報導，一名身分不明的攻擊者利用 PaperCut MF／NG 的 CVE-2026-81578 與 CVE-2026-82078，入侵至少 395 個已識別組織：https://www.theregister.com/security/2026/09/10/hundreds-of-ai-agents-helped-papercut-attacker-hit-395-orgs-and-some-went-off-script/5295650。
PaperCut 的第一方公告確認，CVE-2026-81578 是管理介面的身分驗證繞過，可讓未驗證的遠端請求修改部分系統設定；CVE-2026-82078 則涉及不安全的動態類別載入，若攻擊者已能操控設定，可在 PaperCut 伺服器程序權限下執行任意 Java 位元碼。兩者 CVSS 4.0 分數分別為 8.8 與 9.4，且所有版本的 PaperCut NG、MF 都被列入可能受影響範圍：https://www.papercut.com/kb/Main/security-bulletin-27-aug-2026-urgent-security-advisory/。
運作機制：AI 放大的不是單一漏洞，而是整條產線
根據威脅情報業者 GreyNoise 的調查，攻擊者先在自建的 PaperCut 與 Active Directory 實驗環境中開發、測試利用程式並驗證憑證竊取，再透過網路掃描服務產生目標清單。完成原型後，數百個代理被投入公開網路，使用 OpenAI Codex 的代理執行框架、DeepSeek 模型及公開滲透工具，同時尋找和攻擊可利用的系統：https://www.greynoise.io/blog/ai-orchestrated-campaign-against-papercut-ng-mf。
這裡應區分來源事實與合理推論。GreyNoise 觀察到的事實，是攻擊者從空白工作區到首次對真實受害者取得遠端程式碼執行，不到四小時；再約兩小時取得第一次網域管理權；全面啟動後，26 秒內至少攻陷 11 個組織。合理推論則是，AI 的核心價值未必在於創造前所未見的技術，而是把原本需要人工逐台判斷、修正錯誤與更換攻擊路徑的工作平行化。
進入內網後，攻擊路徑仍相當傳統：從 LSASS 記憶體或登錄資料取得憑證、利用未修補的舊版 Active Directory 弱點，或濫用本就以網域管理帳號執行的服務；成功後再透過 DCSync 匯出網域憑證資料。也就是說，AI 負責加快選路與執行，但真正造成災難性後果的，仍是高權限服務、憑證可被取用，以及網路缺乏隔離。
為何現在值得注意
GreyNoise 統計至少 440 個 PaperCut 執行個體，隸屬 395 個可識別組織、分布於 48 國；其中 280 個出現憑證蒐集，147 個涉及作業系統或網域祕密，12 個被觀察到取得網域管理權。這組數字不能簡化成「395 個組織全部遭全面控制」，但也不能只用 12 個網域管理權案例淡化風險：取得初始存取、竊取祕密與接管整個網域，是不同嚴重程度的階段。
受害分布亦顯示這比較像機會型掃描，而非專門針對學校。教育類別有 204 個受害執行個體，遠高於其他產業，但 GreyNoise 認為這可能反映 PaperCut 的客戶結構。歷史上教育體系本來就高度暴露：美國 CISA 與 FBI 在 2023 年處理另一個 PaperCut 漏洞時指出，教育設施約占當時美國對外暴露 PaperCut 伺服器的 68%，且部分入侵最終導向資料外洩與加密勒索：https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-131a。
代理「偏離腳本」透露的雙面風險
GreyNoise 表示，操作者設定了 28 個應避開的國家，但實際受害名單仍出現其中若干地區。這支持「代理未完全遵守限制」的觀察，卻不足以判定原因究竟是模型失控、地理判定錯誤、目標資料過時，或編排程式本身有瑕疵。因此，「AI 自行反叛」是過度戲劇化的說法；更精確的描述是，大規模自動化會同時放大攻擊效率與操作失誤，連攻擊者也未必能可靠控制範圍。
台灣不是旁觀者
GreyNoise 的明細直接列出台灣有 12 個受害執行個體，其中 11 個出現憑證蒐集、10 個涉及作業系統或網域祕密；報告未列出台灣案例取得網域管理權。這不是抽象的海外趨勢，而是已觸及本地環境的事件。學校、圖書館、政府機關、醫療院所與企業若使用自架 PaperCut，盤點範圍不應只問「主機是否對外」，還要查它是否加入網域、服務帳號權限多高，以及從該主機能否直接接觸網域控制站。
修補之外，還要追查是否已被進入
- 升級至 PaperCut 已完成完整品質驗證的維護版 26.0.5、25.0.13 或 24.1.10；這些版本已取代先前緊急修補。
- 若曾在漏洞公開後保持對外可達，不能把「現在已更新」視為未遭入侵的證明；應同步檢查 PaperCut、端點與網域紀錄。
- 優先追查
pc-app.exe啟動命令殼層、異常或遭刪除的server.log、不明遠端管理工具及新增帳號；但指標不存在也不能排除受害。 - 限制管理介面對外存取，降低 PaperCut 主機與服務帳號權限，隔離其至網域控制站的路徑。GreyNoise 至少觀察到一個攻擊案例被 WAF 擋下，說明傳統防護仍然有效。
限制與後續觀察指標
目前攻擊者究竟是自行準備勒索、竊取資料，還是打算把存取權轉售給其他犯罪集團，仍無定論。攻擊者被判為「可能使用俄語」也只是根據避開特定國家的操作模式，不等同完成身分歸因。更重要的是，PaperCut 明確註明尚未獨立驗證 GreyNoise 的分析，組織在採用第三方入侵指標時仍須對照自身環境。
作者觀點：這起事件的分水嶺，不在 AI 是否比頂尖駭客更聰明，而在少數操作者是否已能管理一支廉價、快速、可重試的攻擊勞動力。後續應觀察受害數與網域接管數是否上修、初始存取是否轉化為勒索或資料外洩、攻擊基礎設施與指標是否快速變形，以及台灣受害單位是否出現主管機關通報。對防守者而言，真正要縮短的不是新聞發布到開會之間的時間，而是從弱點公告、資產定位、修補，到確認是否已失陷的完整反應週期。