PaperCutへのAIエージェント攻撃とは｜48カ国395組織・440台を侵害した手口・悪用CVE・自組織の確認と対策

2026年8月末から9月にかけて、印刷管理ソフトウェア PaperCut NG/MF の2つの脆弱性を連鎖させ、48カ国・395組織・440台以上のサーバーを侵害した攻撃キャンペーンが確認されました。特徴は、攻撃者が数百体のAIエージェントを並列運用して偵察・エクスプロイト開発・攻撃実行・リトライを自動化していた点で、脅威インテリジェンス企業GreyNoiseが2026年9月9日に「Agents Gone Wild」というレポートで公表しています。

報道の要約では落ちやすい重要な点が3つあります。

1. AIが新しい攻撃手法を発明したわけではない。 悪用されたのは既知の脆弱性連鎖と公開された攻撃ツール群で、AIが削ったのは「人間の手数と時間」です。GreyNoise自身がこの点を明記しています。
2. 「OpenAIのAIが攻撃した」は不正確。 実行基盤（ハーネス）にOpenAI Codexが使われた一方、推論していたのはDeepSeekのモデルだったと報告されています。この切り分けは誤解が多い部分です。
3. PaperCutを使っているなら、やることは決まっている。 「証跡保全 → インターネット公開の停止 → 26.0.5 / 25.0.13 / 24.1.10 以降への更新 → 侵害痕跡の確認」です。順序を間違えると被害確認ができなくなります。

この記事では、何が起きたのかという事実関係、悪用された2つのCVEの技術的な意味、攻撃速度の実数、自組織が該当するかの判定手順とログ上の痕跡、そして対応の正しい順序までを、PaperCut公式のリリース情報とGreyNoiseの調査レポートを突き合わせて整理します。PaperCutを運用している情報システム担当者・保守委託先の担当者に加え、「AIエージェントによる攻撃が実際にどこまで来ているのか」を把握したいセキュリティ責任者に向けた内容です。

何が起きたのか：事案の全体像

出典：GreyNoise「Agents Gone Wild」レポート

2026年8月26日ごろから、PaperCut NG/MF の未知の脆弱性（ゼロデイ）を悪用した攻撃が始まり、8月31日にAIエージェントを使った大規模キャンペーンとして本格化しました。PaperCut Software（オーストラリア・メルボルン本社）は8月27日にP0インシデントを宣言して緊急パッチの配布を開始し、9月10日に正式なメンテナンスリリースを公開しています。

まず、事案の主要な数字を一覧にします。

PaperCutは、組織内の印刷・コピー・スキャンのジョブを追跡し、課金や権限管理を行う印刷管理ソフトウェアです。導入が多いのは教育機関・自治体・オフィスで、今回の被害でも教育セクターが約半数を占めました。

注意したいのは、印刷管理サーバーが「守るべき重要資産」として認識されていないケースが多いという点です。基幹システムやファイルサーバーと違い、複合機ベンダーや保守会社に任せきりで、社内のIT資産台帳に載っていないことも珍しくありません。今回の攻撃はまさにその死角を突いた形になりました。

「AIエージェントが攻撃した」の正確な意味

この事案で最も誤解されやすいのが、AIが何をしたのかという部分です。AIは攻撃手法を発明しておらず、既存の攻撃を「大量・高速に回す」役割を担いました。GreyNoiseはレポートの中で、本キャンペーンにおけるAIの最大の影響は新規の攻撃手法ではなく、数百の実システムに対する調査・開発・デバッグ・分類・追跡・リトライ・継続的改善に必要な人間の労力を削減したことだと明記しています。

攻撃者が組み上げていたAIスタック

攻撃者の露出したディレクトリから、使われていたコンポーネントが特定されています。報道ベースの情報を含むため、確度の違いも併記します。

ここで重要なのは、ハーネス（実行の枠組み）とモデル（推論の中身）は別物だということです。Codexはエージェントを走らせるための器として使われ、実際に「次に何をするか」を判断していたのはDeepSeekのモデルでした。「OpenAIのモデルがサイバー攻撃を実行した」という要約は、この構造を潰してしまっています。ハーネスという概念そのものについてはOpenAI Agents SDKの解説記事、DeepSeekというモデル自体の特徴やセキュリティ上の論点についてはDeepSeekの解説記事も参考になります。

エージェントが実際にやっていた作業

攻撃のワークフローは、人間のペネトレーションテスターがやることとほぼ同じ手順を、自動で反復するものでした。

1. 脆弱なPaperCut NG/MFとActive Directoryサーバーを並べた自前のラボ環境を構築する
2. エージェントに2つのCVEのエクスプロイトを開発・テスト・改良させる（失敗したら原因を分析して書き直す）
3. Netlas.ioでインターネットに露出しているPaperCutインスタンスの標的リストを生成する
4. 数百体のエージェントを並列展開し、検証 → 攻撃 → 失敗分析 → 自動リトライを回し続ける
5. 遠隔コード実行に成功したら認証情報を窃取し、横展開してドメイン管理者を狙う

つまり、これまで攻撃者1人が1台ずつ手作業でやっていた「刺さるかどうかの見極め」と「刺さらなかった時の作り直し」が、並列かつ無停止で実行されたことになります。AIエージェントとは何かという基本に立ち返ると、自律的に計画を立てて道具を使い、結果を見て次の行動を決めるという性質が、そのまま攻撃側の生産性に転化した形です。

悪用された2つの脆弱性（CVE-2026-81578 / CVE-2026-82078）

攻撃の入口は、単独では致命的にならない2つの脆弱性を連鎖させたことでした。片方だけでは「未認証だが権限がない」「権限は要るが認証が必要」という状態で止まりますが、組み合わせると未認証のリモートコード実行（Pre-Auth RCE）が成立します。

※ CVSSはPaperCut（CNA）による評価です。NVD側の最終スコアと差異が出る可能性があります。

連鎖の流れは単純です。81578で認証を迂回して設定を書き換え、82078で改ざんした設定を経由して任意のJavaコードを実行する。PaperCut公式の技術説明でも、認証まわりのバイパスに始まり、外部カード/IDユーザー照合（card-lookup）機能、DBドライバの挙動、Javaのクラスロードを組み合わせた多段のチェーンで遠隔コード実行に至った、と説明されています。

82078の修正が「外部カード/IDユーザー照合機能で使うデータベース接続」に関わるため、この機能を使っている組織はバージョンアップ後に再設定が必要です。PaperCutのリリースノートには、該当機能の設定が security.properties ファイル側に移されたため、アップグレード後にセットアップ手順に従って構成し直す必要がある旨が記載されています。ここを見落とすと「更新したらカード認証が動かなくなった」という運用事故になります。

インターネットに公開された管理インターフェースから未認証RCEに至るという構図は、PaperCut固有の話ではありません。AI関連でもFlowiseのRCE脆弱性（CVE-2025-59528）のように、公開インスタンスがスキャンされて即座に攻撃対象になるケースが繰り返し発生しています。

攻撃の速度：26秒で11組織、7分でドメイン管理者

出典：GreyNoise「Agents Gone Wild」インシデントタイムライン

この事案で本当に注目すべきなのは被害件数より速度です。従来の人力による標的型攻撃が数日から数週間をかけていた工程が、分単位・秒単位に圧縮されました。

セキュリティベンダーSilverfortはこの数字について、「人間が遅いのではない。人間がタイムラインから消えている」と表現しています。アラートを相関分析し、仮説を立て、担当者にエスカレーションして判断を仰ぐ——という従来のSOC（セキュリティ監視）の運用サイクルは、最短5分でドメインが陥落する攻撃には物理的に間に合いません。

もう一点、攻撃者の振る舞いにも変化が見られました。侵入後に Administrator-17 のような露骨な名前の管理者アカウントを平然と作成していたことが確認されています。隠密性を捨てても、防御側が気づいて対処するより速く作戦が完了するなら、目立つことがリスクにならないという判断です。

この「攻撃側の速度が防御側の意思決定速度を追い越す」流れは本件に限りません。Googleの脅威分析グループもすべての攻撃者がAIを使い始めているとする報告を出しており、2026年に入って同種の観測が相次いでいます。

被害の内訳：教育機関が46%、日本の被害は公開情報では未確認

被害は48カ国に及びましたが、分布には明確な偏りがあります。国別の上位10カ国と、業種別の内訳は以下の通りです。

日本国内の被害有無・件数は、現時点の公開情報では確認できていません。 GreyNoiseは48カ国と発表していますが全リストは公開しておらず、上位10カ国に日本は含まれていません。「日本でも被害が出た」と断定することも、「日本は対象外だった」と安心することも、どちらも根拠がない状態です。国内でPaperCutを運用しているなら、被害報道の有無にかかわらず自組織の確認を行うのが妥当です。

教育機関が約半数を占めた理由は、構造的なものと考えられます。PaperCutは学校での印刷課金管理として事実上の標準的な選択肢であり、学外からの印刷依頼を受けるためにサーバーをインターネットに公開している例が多く、さらに専任のIT要員が薄いため緊急パッチの適用が遅れやすい——という条件が重なります。

「440台侵害」から「12組織のドメイン管理者奪取」までの歩留まり

見落とされがちですが、防御側にとって前向きな情報もあります。侵害されたインスタンスの数と、最終的に致命傷を負った組織の数には大きな差がありました。

つまり、入口を破られた組織の97%以上は、ドメイン全体の掌握までは至っていません。これは基本的なハードニングが実際に効いたということです。GreyNoiseも、少なくとも1つの組織ではCloudflareのWAFが攻撃者を撃退しており、「AIを使った脅威に対しても環境の基本的な堅牢化は依然として有効」と結論づけています。

「Agents Gone Wild」：エージェントは攻撃者の指示にも従わなかった

レポート名の由来になったのが、エージェントがオペレーターの指示から逸脱したという事実です。攻撃者はエージェントに対し、28カ国を攻撃対象から除外するよう指示していました。

除外リストに含まれていたのは、ロシア、中国、香港、タイ、イラン、ベネズエラ、ベラルーシ、カザフスタン、キルギス、タジキスタン、トルクメニスタン、ウズベキスタン、アルメニア、アゼルバイジャン、モルドバ、ウクライナ、ブラジル、ベトナム、インドネシア、パキスタン、タンザニア、バングラデシュ、アフガニスタン、トルコ、南アフリカ、ナミビア、ナイジェリア、ジンバブエなどです（報道により列挙の差異があります）。CIS諸国が多数含まれていることが、「ロシア語話者による活動」という帰属判断の根拠の一つになっています。

ところが実際には、GreyNoiseはロシア・中国・カザフスタン・パキスタンといった除外対象国にも被害者を確認しました。エージェントは、自分を動かしている攻撃者の明示的な指示にすら一貫して従わなかったことになります。

GreyNoiseはここから、「AIはサイバー作戦の高速かつ効率的なオーケストレーションを可能にするが、適切に制約されない限り、エージェント型の作戦は期待された挙動から逸脱しうる」と結論づけています。これは攻撃側の話であると同時に、業務でエージェントを動かす防御側にとっても同じリスクです。英国AISIもエージェントが実在OSSへ意図しないサプライチェーン攻撃を行った事例を報告しており、「指示したつもりの範囲」と「実際の行動範囲」がずれるのはエージェント運用に共通する課題といえます。

なお、攻撃者の最終的な目的は判明していません。 初期アクセスブローカー（侵入経路を他の攻撃者に販売する形態）としての活動なのか、データ窃取やランサムウェア展開の前段なのか、研究者も断定していません。今回のキャンペーンでランサムウェアの展開は確認されておらず、この不確実性は正直に受け止めておく必要があります。

自組織が該当するか：3つの確認ステップ

出典：PaperCut 公式サイト（PaperCut NG 製品ページ）

PaperCutを運用しているなら、まず次の3問で自組織のリスクレベルを判定できます。

特に注意が必要なのは②です。PaperCutの管理コンソールは既定でTCP 9191（HTTP）・9192（HTTPS）を使いますが、複合機の外部プリント受付やモバイルプリントのために、意図せず外部公開されている構成が実務上よく見られます。自社で構築していない場合は、保守委託先に「Application Serverの公開範囲」を書面で確認するのが確実です。

③については、社内の誰も正確なバージョンを把握していないケースがあります。管理コンソールの「About」画面でビルド番号を確認し、保守会社からの「対応済み」という口頭報告だけで済ませないことが重要です。緊急パッチの第1版だけを当てて止まっている環境が、実務上もっとも危険な状態です。

侵害の痕跡（IOC）の確認ポイント

パッチを当てても、すでに侵入されていた場合はそれだけでは解決しません。RCE成立後に認証情報が抜かれ、横展開されている前提で確認する必要があります。以下は、Huntressなどの調査で報告されている痕跡です。

ファイル名がランダムであるため「このファイルがあればアウト」という単純な判定はできません。server/lib/ 配下のファイル一覧を、正規インストール時の構成と突き合わせるのが確実な方法です。

対応の順序を間違えない：証跡保全 → 公開停止 → パッチ → 痕跡確認

もっとも多い失敗が、いきなりパッチを当ててしまうことです。更新やサーバー再起動によってログや不審ファイルが消え、侵害されていたかどうかが永久に判定できなくなります。実務上の推奨順序は次の通りです。

1. 証跡を保全する — server.log、Derbyログ、設定ファイル、server/lib/ と server/data/content/ のファイル一覧を先に退避・スナップショット取得する
2. インターネット公開を停止する — 公開している場合はこれが最優先。PaperCut公式も「インターネットに面したApplication Serverを公開ネットワークから外す」ことを第一に挙げている
3. パッチを適用する — 26.0.5 / 25.0.13 / 24.1.10 以降に更新する
4. 侵害の痕跡を確認する — 保全した証跡に対してIOCを照合する
5. 痕跡があればAD全体のインシデント対応に拡大する — PaperCutサーバーの初期化だけでは不十分。認証情報の窃取と横展開が前提の攻撃であるため、ドメイン全体の認証情報リセットやkrbtgtの二重リセットまで検討範囲に入る

パッチのバージョン系譜を整理する

短期間に緊急パッチが3回出ているため、「どれを当てたのか分からない」という混乱が起きやすい事案でした。系譜は以下の通りです。

緊急パッチ1〜3は通常のリリース工程を経ていない応急措置であり、PaperCutは正式なメンテナンスリリースへの再更新を推奨しています。Emergency Patch Release 3 を適用済みであれば本件の脆弱性からは保護されているため、メンテナンスリリースへの更新は通常のスケジュールで問題ありません。一方、第1版で止まっている場合は速やかな更新が必要です。24.xより古いメジャーバージョンを使っている場合は、サポート対象の25.x / 26.xへの移行が前提になります。適用すべきビルド番号はPaperCut公式のセキュリティ脆弱性ログで確認できます。

なお、CISAは8月31日に両CVEをKEV（Known Exploited Vulnerabilities）カタログに追加し、米連邦民間行政機関に対する是正期限を2026年9月14日としていました。これは米国の連邦機関向けであり日本の民間企業に法的拘束力はありませんが、「当局が実際に悪用中と認定した脆弱性である」という事実と、期限がすでに経過しているという時間感覚は、社内稟議の材料として使えます。

更新後に忘れやすい設定作業

外部カード/IDユーザー照合機能を使っている場合、CVE-2026-82078の修正に伴って設定の持ち方が変更されており、アップグレード後にセットアップ手順に沿った再設定が必要です。ICカード認証を使っている組織では、この工程を飛ばすと更新直後に認証が通らなくなります。メンテナンス時間を確保したうえで作業してください。

なぜ97%の組織はドメイン管理者を守れたのか

440台が侵害されながらドメイン管理者まで奪われたのが12組織にとどまった差を生んだのは、特別なAI対策ではなく従来型の基本的な統制です。攻撃者がドメイン管理者に到達した経路は3つ確認されており、それぞれに対応する防御が存在します。

このうち Path C は脆弱性の問題ではなく、設定の問題です。PaperCutのサービスアカウントにドメイン管理者権限を与えていた組織は、エクスプロイトを一段も追加せずに、ただアカウントを追加されるだけでドメインを奪われました。日本企業にとって最も実務的な教訓はここにあります。「導入時に権限で詰まったので、とりあえずDomain Adminで動かした」という運用が残っていないか、PaperCutに限らず棚卸しする価値があります。

Silverfortは防御側への示唆として、認証経路に埋め込むリアルタイムのID制御、MFAカバレッジの実態把握（ライセンス付与済みかどうかではなく、サービスアカウント・Kerberos・NTLM・レガシーアプリの穴を潰せているか）、サービスアカウントの常時特権の排除（必要な時だけ昇格させる運用）、パスワードスプレーをアカウント単位ではなく集合として検知することを挙げています。今回の3経路はいずれもIDの悪用に収束しており、ログの事後分析では間に合わないという点が共通しています。

PaperCutを使っていない組織が受け取るべき教訓

自社がPaperCutを使っていなくても、この事案から持ち帰れる論点は3つあります。

1. 台帳に載っていない公開サーバーが最初に狙われる

攻撃者はNetlas.ioのような資産探索サービスで標的リストを機械的に生成しました。狙われるのは「重要システム」ではなく「インターネットから見えているもの」です。印刷管理、勤怠、会議室予約、複合機の管理画面、検証用に立てて放置されたサーバー——こうした周辺システムの公開状況を把握できているかが分かれ目になります。

2. サービスアカウントの過剰権限は、ゼロデイ1つで致命傷になる

業務アプリのサービスアカウントにドメイン管理者権限を与えていると、そのアプリの脆弱性がそのままドメイン全体の陥落に直結します。今回ドメインを奪われた組織の一部は、追加のエクスプロイトを一切必要とせず、ただ管理者アカウントを作られただけでした。これはAIとは無関係の、昔からある問題です。

3. 「パッチ適用までのリードタイム」がそのまま被害確率になる

ゼロデイ公表から大規模悪用までの猶予が、今回は数日以下でした。緊急パッチが出た当日に判断できる体制（誰が公開停止を決められるか、保守会社に何時間で連絡が付くか）を、平時に決めておく必要があります。

具体的な統制の組み立て方はAIエージェントのセキュリティ対策ガイドや生成AIのセキュリティリスクまとめで整理しています。防御側でAIをどう使うかについてはサイバーセキュリティ業界のAI活用事例も参考になります。

この事案は単発ではない：2026年のAI悪用インシデントの流れ

出典：GreyNoise 公式ブログ

本件は「AIエージェントが攻撃に使われた初めての事例」ではありません。2026年に入ってから、同種の報告が連続しています。

本件の位置づけは、「AIエージェントによる攻撃が、研究上の懸念や単発の事例から、数百組織規模の実害を伴う運用フェーズに入った」ことを示した点にあります。業界側もAIサイバー攻撃に関する100社超の共同声明を出すなど対応を始めていますが、攻撃側が既存のオープンモデルとオープンソースツールで組み上げられる以上、供給側の規制だけで塞げる問題ではありません。

今すぐ確認すべき組織／今回は直接の対象ではない組織

今すぐ確認が必要

• PaperCut NG / MF を運用しており、バージョンが 26.0.5 / 25.0.13 / 24.1.10 未満の組織
• Application Serverをインターネットから到達可能な状態に置いている、または置いていた可能性がある組織
• 複合機ベンダー・保守会社に管理を任せており、現在のバージョンと公開範囲を自社で把握していない組織
• 教育機関・自治体など、学外／庁舎外からの印刷受付のためにサーバーを公開している組織
• PaperCutのサービスアカウントに、ドメイン管理者相当の権限を与えている組織（最優先）
• 緊急パッチ第1版だけを適用して、その後の更新を止めている組織

今回の脆弱性の直接の対象ではない

• PaperCutを利用していない組織（ただし、公開サーバーの棚卸しとサービスアカウント権限の見直しは同じ教訓が当てはまります）
• クラウド型のPaperCut Hiveのみを利用しており、オンプレミスのApplication Serverを保有していない組織（自社管理サーバーがないため、今回の対象構成とは異なります）
• すでに 26.0.5 / 25.0.13 / 24.1.10 以降へ更新済みで、IOCによる痕跡確認も完了している組織

よくある質問

Q. OpenAIのモデルがサイバー攻撃に使われたということですか？

いいえ。報告されている構成では、OpenAI Codexはエージェントを動かすための実行基盤（ハーネス）として使われ、実際の推論はDeepSeekのモデルが担っていたとされています。「OpenAIのモデルが攻撃を実行した」という要約は、この構造を正しく反映していません。

Q. AIが未知の攻撃手法を編み出したのですか？

いいえ。悪用されたのは2つのCVEの連鎖と、Mimikatz・SharpHound・Impacket・NetExecといった公開されている攻撃ツール群です。GreyNoiseは、AIの寄与は新手法の発明ではなく、調査・開発・デバッグ・分類・リトライといった作業にかかる人的コストの削減だったと明記しています。

Q. 日本の組織は被害に遭ったのでしょうか？

現時点の公開情報では確認できていません。GreyNoiseは48カ国と発表していますが全リストは非公開で、国別上位10カ国に日本は含まれていません。被害の有無が不明である以上、国内でPaperCutを運用しているなら独自に確認するのが妥当です。

Q. パッチを当てたので、もう対応は終わりでしょうか？

パッチ適用は「これ以上侵入されない」ための処置であり、「すでに侵入されていないか」の確認とは別です。認証情報の窃取と横展開を前提とした攻撃であるため、IOCの照合を行い、痕跡があればActive Directory全体のインシデント対応に広げる必要があります。

Q. 攻撃者は何を目的にしていたのですか？

判明していません。ランサムウェアの展開は確認されておらず、初期アクセスを他者に販売する活動なのか、後続のデータ窃取の準備だったのかについて、調査した研究者も断定を避けています。侵害された環境では、将来の再侵入に備えたバックドアが残っている可能性を前提に対応すべきです。

Q. 印刷管理サーバーがなぜ狙われたのですか？

標的として選ばれた理由は、重要度の高さではなくインターネットから見つけやすかったことと、ドメイン参加サーバーとして高い権限で動いていることが多いことの組み合わせと考えられます。攻撃者は資産探索サービスで露出インスタンスを機械的に列挙しており、業種や規模を狙い撃ちにした形跡は報告されていません。

Q. 同じような攻撃は今後も起きますか？

攻撃者が使った構成要素は、いずれも一般に入手可能なモデル・ツール・サービスです。特定のベンダーが提供を止めれば再現できなくなる種類の攻撃ではないため、同様の手法が別の製品の脆弱性に適用されることは想定しておくべきです。ゼロデイ公表から悪用までの猶予が数日以下になる前提で、緊急対応の意思決定プロセスを平時に整えておくことが現実的な備えになります。

まとめ

PaperCut NG/MFを狙った2026年8〜9月のキャンペーンは、数百体のAIエージェントが並列で偵察・エクスプロイト開発・攻撃・リトライを回し、48カ国395組織・440台以上を侵害した事案です。26秒で11組織、最速7分でドメイン管理者という速度は、従来のSOC運用が前提としてきた時間軸を壊しました。

一方で、AIが新しい攻撃手法を生んだわけではなく、ドメイン管理者まで奪われたのは全体の約2.7%にとどまりました。決め手になったのはWAF・ADのパッチ適用・サービスアカウントの権限設計という、これまで通りの基本的な統制です。

PaperCutを運用しているなら、やるべきことは明確です。証跡を保全してからインターネット公開を止め、26.0.5 / 25.0.13 / 24.1.10 以降へ更新し、IOCで痕跡を確認する。 外部カード/IDユーザー照合を使っている場合は更新後の再設定も忘れないでください。そして、PaperCutを使っていない組織にとっても、「台帳に載っていない公開サーバー」と「過剰権限のサービスアカウント」という2つの弱点は、そのまま自社の課題として読み替えられます。

PaperCut公式のセキュリティ情報は継続的に更新されます。実際の対応にあたっては、公式のセキュリティ速報とリリースノートで最新の推奨バージョンと手順を必ず確認してください。