Executive Summary

주요 수치

출처: GreyNoise, AI-Orchestrated Campaign Against PaperCut NG/MF

페이퍼컷 NG/MF는 학교와 기업에서 프린터 사용량을 관리하는 흔한 업무용 서버다. 자바로 짠 자체 호스팅 웹 애플리케이션이고, 윈도우에서는 기본값이 시스템 권한으로 돌아가며 대개 도메인에 가입돼 액티브 디렉터리와 엮여 있다. 이 성질이 뒤에 가서 중요해진다. 8월 27일 페이퍼컷이 보안 권고문을 냈다. 인증을 건너뛴 채 설정을 건드릴 수 있게 하는 CVE-2026-81578과, 데이터베이스 커넥터의 동작을 코드 실행으로 바꾸는 CVE-2026-82078이다. 둘을 이어 붙이면 로그인하지 않은 웹 요청 하나가 페이퍼컷 서비스 안에서 임의의 코드가 된다. 캠페인은 나흘 뒤인 8월 31일에 시작됐다.

그레이노이즈는 그날의 시작을 이렇게 적는다.

“On 31 August 2026, a likely Russian-speaking malicious cyber actor (MCA) used 45.142.193.132 and artificial intelligence (AI) to develop, test, and use exploits for PaperCut NG/MF.”

그날의 진행은 그레이노이즈가 분 단위로 적어 두었다. 협정세계시로 14시 44분, 공격자는 빈 작업공간을 만들고 권고문과 함께 패치 전 판본과 패치 후 판본을 나란히 내려받았다. 15시 54분에는 두 설치본에서 구성요소를 꺼내 서로 비교했다. 패치가 무엇을 고쳤는지를 거꾸로 읽어 익스플로잇을 뽑아낸 것이다. 뽑아낸 익스플로잇은 아프리카에 있는 패치된 서버와 안 된 서버에 먼저 걸어 봤다. 16시 09분에 직접 만든 다중 스레드 도구가 후보 462개를 추렸고, 16시 26분에는 국가 데이터베이스를 내려받아 후보 1,005개가 어느 나라에 있는지를 갈랐다. 16시 35분에 액티브 디렉터리 서버와 취약한 페이퍼컷을 세운 자기 실험실이 만들어졌고, 17시 02분에는 그 실험실의 디렉터리에 가짜 사용자 여덟 명이 들어갔다. 18시 39분 39초, 호주의 한 피해자에게서 첫 원격코드실행과 셸이 떨어졌다. 작업공간을 연 지 3시간 55분 만이다. 같은 피해자에게서 도메인 관리자 권한이 확인된 시각은 21시 정각이었다.

26초가 나온 자리는 그다음 날이다. 9월 1일 08시 30분, 에이전트들이 두 번째 호스트로 수백 개의 SSH 세션을 열면서 본 캠페인이 시작됐다. 그 첫 26초에 조직 11곳이 뚫렸고, 자격증명 수확은 1분이 되기 전에 시작됐다. 첫 한 시간 동안 78개 조직이 뚫렸고 그중 8곳에서는 도메인 관리자까지 갔다. 그날 마지막 원격코드실행이 찍힌 23시 12분 시점의 누계가 223대를 넘었고, 나머지는 이튿날 정리됐다. 이 26초는 흔히 캠페인의 정점에서 나온 값처럼 인용된다. 실제로는 문이 열린 첫 순간의 값이다. 개별 조직 기준으로 가장 빨랐던 사례는 미국의 한 고등학교로, 최초 접근에서 도메인 관리자까지 7분이 걸렸다. 도메인 관리자에 이르는 데 걸린 시간 전체는 5분에서 144분 사이에 흩어져 있었다.

느린 사례를 방어가 버틴 흔적으로 읽으면 안 된다. 초기 접근과 도메인 관리자 사이에 며칠이 뜬 경우가 여럿 있었는데, 그레이노이즈는 그 지연이 공격자가 곧바로 따라붙지 않았기 때문이라고 설명한다. 기다린 쪽은 방어가 아니라 공격이었다.

이 사건은 “AI가 자율적으로 440대를 뚫었다”는 문장으로 옮겨 다니고 있다. 정작 공격자 인프라를 가장 깊이 들여다본 블랙포인트는 자기 보고서에서 그 해석을 먼저 잘라 냈다.

“The campaign is not evidence of fully autonomous exploitation. Nothing recovered shows an AI model independently discovering a zero day, choosing hundreds of targets, and compromising them without human involvement.”

그러면 AI가 한 일은 무엇이었나. 같은 보고서가 이어서 답한다.

“The strongest AI impact in this campaign was not a novel exploit technique. It was the reduction of human effort required to research, develop, debug, classify, track, retry, and continuously improve exploitation across hundreds of real systems.”

새로운 기법이 등장한 것이 아니라, 사람이 감당하던 반복 노동이 사라진 것이다. 회수된 흔적을 보면 그 반복이 얼마나 두꺼웠는지 드러난다. 타깃 선별부터가 한 번의 스캔이 아니라 깔때기였다. 여러 출처의 목록을 합쳐 주소와 포트 조합 1만 5천 개가 넘는 재고를 만들고, 국가로 거르고, 작업자 32개와 80개짜리 값싼 도달성 검사를 앞에 세워 살아 있는 페이퍼컷만 남긴 다음에야 비싼 원격코드실행을 걸었다. 가장 넓은 목록에는 고유 IP 4,107개가 들어 있었지만 그것도 입력 하나였고, 블랙포인트는 그 목록이 어떻게 만들어졌는지는 회수된 파일에 남아 있지 않다고 밝힌다. 이미 끝난 시스템은 다음 목록에서 빠졌다. 9월 1일 첫 러너 체크포인트에는 타깃 517개가 올라 있었고, 재시도 래퍼는 200개 스레드로 최대 100회 라운드를 돌게 맞춰져 있었다.

9월 1일자 실패 요약은 291개 타깃을 한 통에 담지 않고 이유별로 갈라 놓았다. 익스플로잇 연쇄가 방아쇠까지 닿았는데 기대한 출력 파일이 나오지 않은 경우가 161건, 코드는 실행됐지만 관리자 계정 생성에서 막힌 경우가 60건, 설정 변경이 거부된 경우가 56건, 시간 초과가 12건이었다. 60건은 다시 잘게 나뉘어 윈도우가 접근을 거부한 경우 19건, 도메인 컨텍스트에 닿지 못한 경우 17건 이상, 윈도우가 아니라 net 명령이 아예 없던 경우 7건으로 적혀 있었다. 접근 거부와 도메인 부재와 리눅스는 각각 다른 후속 조치가 필요하다. 실패를 그렇게 갈라 두면 다음 회차를 실제 문제에 맞춰 짤 수 있다.

이 파이프라인은 자기가 낸 실수를 되짚기도 했다. 규모를 키우자 컨테이너마다 같은 포트를 붙잡는 바람에 페이로드가 무너졌고, 러너는 타깃마다 다른 포트를 주도록 고쳐졌다. 계속 실패하던 시스템들이 실은 HTTPS로만 열려 있던 것이 뒤늦게 드러나, 공통 코드가 두 규약을 자동으로 가리도록 바뀌자 여덟 대가 추가로 마무리됐다. 성공 판정 자체가 틀린 적도 있다. 세션이 실제로 열리기 전에 생성된 명령문 안에서 성공 문자열을 찾아 성공으로 세고 있었고, 이후에는 진짜 세션이 있었다는 증거를 요구하도록 검사를 바꿨다. 한번은 윈도우 로컬 관리자 권한을 손보는 수정이 나중에 추가된 대체 경로에서 슬그머니 빠졌는데, 뒤이은 점검이 그것을 잡아 공용 러너에 되돌려 놓았다. 기능을 더하기만 한 것이 아니라 앞서 한 수정이 살아남았는지를 확인한 셈이다. 그레이노이즈 기록에도 9월 1일 17시 15분에 버그를 알아보고 스스로 고쳐 캠페인을 이어 갔다는 줄이 있다.

사람이 붙어 있던 자리도 기록에 남았다. 그레이노이즈 타임라인은 사람의 확인이나 정책이 개입한 지점을 따로 표시해 두었는데, 8월 31일 16시 04분에 계속 진행해도 되는지 묻는 확인이 있었고, 같은 날 19시 14분에 제외 국가 목록이 적용됐으며, 9월 1일 17시 01분에는 클라우드플레어 방화벽에 막히고 미국 쪽 스레드 수를 조정한 지점이 찍혔다. 블랙포인트가 회수한 상태 파일에도 사용자가 요청한 자료를 정리하는 중이라거나 사용자가 긴 스캔을 중단시켰다는 문장이 그대로 남아 있다. 개입이 사라진 것이 아니라 드물어졌다.

에이전트를 돌리기 위한 살림살이도 함께 발견됐다. 세션이 끊겨도 상태를 이어 주는 에이전트용 영속 메모리 서비스 힌드사이트(Hindsight)와, 여러 에이전트를 한 화면에서 동시에 부리는 그래픽 작업공간 에이온UI(AionUi)다. 둘 다 공격용으로 만들어진 물건이 아니다. 에이전트를 오래 돌리려는 사람이라면 누구든 붙이게 되는 종류의 도구다. 그런 평범한 운영 도구를 붙이면 사람 한 명의 지시가 몇 백 개의 실행으로 불어난다. 이 캠페인이 넘은 선은 거기에 있었다.

2025년 11월 앤트로픽이 공개한 GTG-1002 캠페인에서 비슷한 구조를 이미 봤다. 중국 국가 배후로 높은 신뢰도로 평가된 그 조직은 클로드 코드를 자율 침투테스트 오케스트레이터로 썼다. 안전장치는 공격을 잘게 쪼개고 정당한 보안 회사 직원이 방어 목적 시험을 한다고 둘러대는 방식으로 우회했다. 앤트로픽 집계로 전술 작업의 80~90%를 AI가 수행했고 사람은 캠페인당 4~6개의 결정 지점에만 개입했다. 타깃은 기술·금융·화학·정부기관 약 30곳이었다.

두 사건은 목적도 규모도 다르다. 겹치는 것은 구조다.

열 달 사이에 두 번이면 이례가 아니다. 그사이 바뀐 것은 문턱이다. GTG-1002는 국가급 자원이 붙은 선별 작전이었고, 이번 건은 공개된 코딩 에이전트 도구와 값싼 모델로 조립한 대량 작업이었다.

이번 공격자를 특별한 존재로 볼 근거도 약하다. 그레이노이즈는 이 캠페인에 쓰인 주소를 7월 초부터 이미 추적하고 있었다. 팔로알토, 유비쿼티, 시트릭스, 소닉월, 프록스목스처럼 인터넷에 노출된 장비를 상대로 같은 주소가 계속 쓰이고 있었기 때문이다. 흔한 취약점 사냥꾼 하나가 도구를 바꿔 든 것이고, 두 달 뒤 그 손에서 48개국 규모의 작업이 나왔다. 앞의 사건이 가능성을 보여 줬다면 이번 사건은 그 가능성이 얼마나 싸게 재현되는지를 보여 준다.

프린터 관리 서버 한 대가 어떻게 도메인 전체가 되는지부터 봐야 한다. 앞서 적은 성질이 여기서 작동한다. 페이퍼컷은 윈도우에서 기본값이 시스템 권한이고 대개 도메인에 가입돼 액티브 디렉터리와 붙어 있다. 그레이노이즈가 정리한 도메인 관리자 도달 경로는 셋이다. 페이퍼컷 호스트가 도메인 구성원이면 LSASS 메모리와 레지스트리 비밀을 긁어 특권 자격증명을 복구한 뒤 해시를 그대로 넘겨 도메인 컨트롤러에 붙었다. 2021년에 공개된 CVE-2021-42278과 CVE-2021-42287을 아직 막지 않은 곳에서는 노팩(noPac) 공격을 썼다. 그리고 페이퍼컷이 도메인 컨트롤러 위에 얹혀 있거나 도메인 관리자 서비스 계정으로 돌고 있으면, 방금 만든 계정을 도메인 관리자 그룹에 그냥 넣었다. 세 번째 경로에는 익스플로잇이 필요 없다. 아무도 다시 들여다보지 않은 설정 하나면 됐다. 그리고 세 경로의 끝은 같았다. DCSync로 디렉터리 데이터베이스를 통째로 떠서 조직의 자격증명 전부를 가져갔다.

취약점은 문을 여는 수단이었을 뿐이고, 에이전트들이 문 안에서 한 일은 거의 한 가지로 수렴한다. 침해된 440건 가운데 280곳에서 자격증명이 수확됐고, 147곳에서는 운영체제와 도메인의 비밀까지 빠져나갔다. 도메인 관리자 권한을 끝까지 확보한 곳은 12곳이었다. 공격자가 챙겨 둔 공개 공격 도구는 24종 안팎이었고, 전부가 이번에 쓰인 것은 아니지만 목록 자체가 자격증명 탈취와 권한 상승에 몰려 있었다.

이 캠페인은 두 보고서가 나오기 나흘 전에 이미 밖에서 관측되고 있었다. 아틱울프는 9월 5일 시점에 같은 두 취약점이 미국과 유럽 교육기관을 상대로 악용되는 것을 봤다고 밝혔고, 초등학교부터 대형 대학까지 걸쳐 있었다고 했다. 그때 관측된 명령 가운데 findstr로 페이퍼컷 설정 파일을 뒤져 password, secret, ldap, bind, token이라는 낱말을 찾는 것이 있었다. 공격자가 그 서버에서 무엇을 원했는지가 그 한 줄에 다 적혀 있다.

피해는 교육 쪽으로 크게 쏠렸다. 침해된 440건 중 204건이 교육기관이었고, 그 뒤로 소매업과 전문서비스, 숙박업이 이어졌다. 국가별로는 미국이 98곳으로 가장 많았고 영국 59곳, 프랑스와 스페인이 각각 31곳, 캐나다가 24곳이었다. 다만 그레이노이즈는 이 쏠림을 표적 선정으로 읽지 말라고 당부한다. 캠페인 자체가 기회주의적이었고, 교육기관이 많은 것은 페이퍼컷의 고객층이 원래 그쪽이기 때문일 가능성이 크다는 것이다. 노려서 걸린 것이 아니라 거기 있어서 걸렸다.

440건을 뚫고 12곳만 완전히 장악했다는 것은, 나머지 구간에서 방어가 실제로 작동했다는 뜻이기도 하다. 그레이노이즈도 그렇게 적는다. 에이전트 공격 앞에서 조직이 무력한 것은 아니며 전통적인 하드닝이 여전히 자세를 개선한다고 했고, 한 사례에서는 클라우드플레어의 웹 방화벽이 공격자를 물리쳤다고 기록했다. 다만 그 방어선의 재료가 결국 계정과 권한이라는 점은 달라지지 않는다. 인증 우회로 들어오든 노팩으로 들어오든, 끝에서 공격자가 집어 가는 것은 자격증명 한 가지였다.

이 캠페인이 이 정도로 상세히 재구성된 것은 공격자가 자기 인프라에 열어 둔 HTTP 디렉터리가 인터넷에서 그대로 들여다보였기 때문이다. 블랙포인트는 침해된 페이퍼컷 서버 한 대를 막다가 그 주소에 닿았고, 거기서 개발 파일과 타깃 목록, 캠페인 출력, 상태 파일, 여러 세대의 익스플로잇 코드가 담긴 작업 디렉터리를 통째로 받았다. 조사는 공격자의 작업대에서 출발했다.

거기 있던 파일 중 하나가 drop-countries.txt다. 러시아, 중국, 이란, 우크라이나, 브라질, 튀르키예, 나이지리아 등 28개국을 타깃에서 빼라는 목록인데, 캠페인이 도는 동안 내용이 바뀌었다. 캄보디아와 스리랑카가 제외 대상에서 빠졌고, 나중에는 브라질과 남아프리카공화국, 나이지리아, 짐바브웨를 새 단계 목록에서 빼라는 지시가 더해졌다. 사람이 에이전트에게 계속 내린 운영 지시가 그 파일에 쌓였다. 그러면서도 일부 사례에서는 그 배제가 지켜지지 않았다. 지시와 실행이 어긋난 자리까지 파일에 남았다.

그레이노이즈는 이 어긋남을 공격자의 실수로 넘기지 않았다. 보고서 제목이 「에이전트가 날뛰다(Agents Gone Wild)」로 시작하는 이유이기도 하다. 제대로 묶어 두지 않으면 에이전트 작업은 기대한 행동에서 벗어나며 그 자체가 운영 위험이 된다는 것이 세 줄짜리 결론 중 하나였다. 왜 벗어났는지는 아직 모른다고 적었다. 지시를 내린 쪽이 범죄자였다는 사실과 별개로, 그 문장은 에이전트를 돌리는 모든 쪽에 해당한다. 공격자도 자기 에이전트가 무엇을 할지 다 알지는 못했다.

세션과 세션 사이를 잇는 핸드오프 문서까지 그대로 남아 있었다. 블랙포인트는 회수한 상태 파일을 이렇게 묘사한다.

“Timestamped state files read like persistent coding agent context. They record completed work, blockers, next hypotheses, user interruptions, code changes, current campaign status, and the exact artifacts needed for a later session to continue.”

끝난 작업, 막힌 지점, 다음 가설, 사용자의 개입, 코드 변경, 현재 상태, 다음 세션이 이어받을 산출물이 타임스탬프와 함께 적혀 있었다. 코딩 에이전트를 오래 돌려 본 사람이라면 낯익은 형식이다. 공격자가 그 파일을 쓴 목적은 자기 에이전트에게 다음 세션을 넘기는 것이었고, 그 편의가 결과적으로 수사에 가장 좋은 자료를 남겼다.

신원 관리의 관점에서 이 사건을 읽은 곳도 있다. 정체성 보안 제품을 파는 회사라는 점은 감안해서 봐야겠으나, 실버포트가 짚은 한 대목은 이 캠페인의 숫자와 어긋나지 않는다. 빠르기만 하면 한 곳에서는 버틸 수 있고 넓기만 하면 천천히 버틸 수 있는데, 둘이 겹치면 먼저 알아챈 한 조직이 나머지 394곳에 알릴 시간이 없다는 것이다. 보안 운영이 기대 온 전제 하나도 같이 흔들린다. 공격자에게도 주의력의 한계가 있으니 지방 학교의 프린터 서버보다 값나가는 자산부터 올 것이라는 전제다. 연산 자원만이 제약이면 너무 작아서 지나칠 대상이 없다.

여기서부터는 두 보고서를 떠나, 우리가 운영하는 에이전트에 같은 눈금을 대어 본다. 우리가 사내에 붙이는 에이전트도 같은 종류의 흔적을 남긴다. 어떤 키로 무엇에 접근했고, 어디서 막혔고, 어떤 지시를 받아 다음에 무엇을 하려 했는지가 파일과 로그에 쌓인다. 이 사건이 우연히 보여 준 것은 그 기록이 조사 가능한 데이터라는 사실이다. 그렇다면 세 가지를 되물을 수 있다.

• 에이전트가 쥔 자격증명이 몇 초 안에 어디까지 옮겨 갈 수 있는가. 자격증명이 새면 끝까지 가는 데 걸린 시간의 하한은 이 사건에서 7분이었다. 사람이 모여 판단을 합의하는 데 걸리는 시간과 견줘 봐야 한다.
• 사람 없이 돌아가는 구간이 얼마나 긴가. 자율이냐 아니냐가 아니라, 체크포인트와 체크포인트 사이의 길이가 위험의 크기를 정한다.
• 에이전트의 행동 기록이 사후에 읽을 수 있는 형태로 남는가. 공격자 쪽 파일이 저 정도로 읽혔다는 것은, 우리 쪽 기록도 설계만 해 두면 같은 해상도로 읽힌다는 뜻이다.

두 보고서는 자기 결론의 범위를 스스로 좁혀 두었다. 이것은 한 공격자, 한 제품, 한 캠페인의 기록이다. 최종 목적이 무엇이었는지는 아직 확인되지 않았다. 블랙포인트의 수석 MDR 애널리스트 네반 빌(Nevan Beal)은 지금 시점에 이 캠페인의 정확한 최종 목적을 확인할 수 없다고 했고, 방식은 초기 접근 브로커와 일치하지만 그렇게 단정할 근거는 아직 충분하지 않다고 밝혔다. 침해 건수와 조직 수가 서로 다른 단위라는 점, 26초라는 숫자가 캠페인 전체의 속도가 아니라 개시 직후의 기록이라는 점도 옮길 때마다 같이 적어야 한다.

여기까지 읽어 주신 데 감사드린다. 원 보고서는 그레이노이즈와 블랙포인트에서 볼 수 있다. 에이전트에게 준 권한을 어디까지 끊어 두었는지, 그 경계를 무엇으로 확인하고 계신지 나눠 주시면 좋겠다.

1차 출처

• 1.GreyNoise. (2026.9.9). "AI-Orchestrated Campaign Against PaperCut NG/MF." GreyNoise Blog.
• 2.Blackpoint Cyber. (2026.9.9). "Death by a Thousand PaperCuts: AI-Driven Exploitation at Scale." Blackpoint Cyber Blog.

보도·업계 분석

• 3.The Hacker News. (2026.9.10). "PaperCut Attacker Uses Hundreds of AI Agents to Compromise 440+ Instances."
• 4.Help Net Security. (2026.9.11). "AI agents exploited PaperCut flaws to breach 395 organizations."
• 5.Silverfort. "PaperCut Breach: What AI Agent Attacks Teach Us About Identity Security Resilience." Silverfort Blog.

비교 참조

• 6.Anthropic. (2025.11.14). "Disrupting the First Reported AI-Orchestrated Cyber Espionage Campaign." (GTG-1002 보고서)