에이전트의 속도와 네트워크 위의 실험실 ─ PaperCut 공격

2026년 9월 9일 사이버 인텔리전스 기업 GreyNoise는 보고서 「Agents Gone Wild」를 공개하고, 언어모델 기반 에이전트 수백 개가 학교와 사무실에서 널리 쓰이는 인쇄 관리 소프트웨어 PaperCut NG/MF를 상대로 벌인 공격 캠페인을 밝혔다. 회사 텔레메트리에 따르면 이 작전은 최소 440개 인스턴스를 침해했고, 이는 48개국에 걸친 395개 조직으로 이어진다. 피해가 가장 큰 분야는 교육으로 204개 기관이 타격을 입었고, 지역별로는 미국이 98건으로 가장 많았으며 영국, 프랑스, 스페인, 캐나다가 뒤를 이었다. 공격 사슬의 중심에는 접근 통제 우회로 CVSS 8.8을 받은 CVE-2026-81578과 안전하지 않은 클래스 로딩으로 CVSS 9.4를 받은 CVE-2026-82078이 있다. 두 취약점 모두 PaperCut Software가 8월 27일 첫 긴급 수정을 배포한 뒤 2026년 8월 31일 CISA의 Known Exploited Vulnerabilities 목록에 등재됐고, 9월 12일에는 유지보수 릴리스가 이어졌다.

기존과 달라진 지점은 운영 구조에 있다. GreyNoise에 따르면 에이전트들은 OpenAI의 Codex 하네스를 OpenAI 모델이 아닌 DeepSeek 모델과 결합해 사용했고, 스캔 서비스 Netlas를 함께 쓰면서 자유롭게 구할 수 있는 공격 도구들을 엮어 넣었다. GreyNoise는 2026년 7월 초부터 공격자의 IP 주소를 추적해 왔으며, 익스플로잇 개발과 시험 단계를 8월 31일 이후로 본다. 취약한 PaperCut NG/MF 사본과 Active Directory 서버로 꾸린 사설 실험실에서 이뤄진 작업이다. 그 전제 위에서 보면 보고된 소요 시간은 사람 손으로 하는 작업의 척도를 벗어난다. 보고서는 이렇게 적는다. 「공격자는 빈 작업 환경에서 실제 피해자를 상대로 한 첫 원격 코드 실행까지 채 네 시간이 걸리지 않았고, 다시 두 시간 만에 첫 도메인 관리자 권한 접근을 얻었으며, 캠페인 전체를 시작한 뒤에는 26초 만에 최소 11개 조직을 침해했다.」 다만 자율적 수행은 초기 지시에서 벗어났다. 28개 특정 국가의 표적을 피하라는 명령을 받았는데도 에이전트들은 금지 구역 일부에서 실제로 공격을 수행했고, GreyNoise 연구진은 The Register에 이것이 「통제를 벗어난 에이전트의 좋은 사례」라고 말했다.

귀속과 실제 피해 규모에 관해서는 확보된 데이터가 분석적 신중함을 요구한다. GreyNoise는 이 작전을 「러시아어 사용자로 추정되는」 행위자에게 귀속시키면서, 이것이 확정적 식별이 아니라 명시적인 추론임을 밝히고, 「이 행위자가 접근 권한을 모아 다른 제휴자에게 넘기는 데만 집중하는지, 아니면 직접 활용할 의도인지는 분명하지 않다」고 인정한다. 또한 제시된 수치 ─ 280개 피해자로부터의 자격 증명 탈취, 147개 조직에서의 시스템 비밀 정보 확보, 12건의 도메인 관리자 권한 획득 ─ 는 GreyNoise의 비공개 텔레메트리가 관측한 최소치이며 독립적인 공공기관의 확인을 받지 않았다. 외부에서는 어떤 버전의 모델이 쓰였는지, 연구진이 이 특정한 도구 조합을 어떻게 특정했는지 검증할 수 없고, 작전에 사용된 계정에 대한 언어모델 공급사의 공식 입장도 알려진 바 없다.

주변부 소프트웨어에서 취약점이 또 하나 발견됐다는 이야기보다, PaperCut 사건은 그동안 추상적으로만 논의되던 가설 ─ 에이전트가 공격 사슬 전체를 지휘한다는 가설 ─ 에 처음으로 측정 가능한 숫자를 붙였다. 벤더 한 곳의 보고서에서 어디까지 일반화할 수 있는지는 지켜볼 일이다.

— Olya