2026 年 9 月 9 日，安全公司 GreyNoise 与 Blackpoint Cyber 披露了一场被命名为「Agents Gone Wild」的攻防战役：一名攻击者调动数百个自主智能体，借助两个 PaperCut 打印管理漏洞，在 48 个国家的 395 家组织里发起大规模利用，最刺眼的数字是——在峰值速度下，26 秒就攻破了 11 家不同的组织。这并不是又一起「AI 写恶意代码」的演示，而是一次由智能体自驱、几乎无人干预的多步入侵。它把「机器身份」这个长期被忽视的盲区，直接推到了聚光灯下。
攻击链几乎无人干预：从扫描到提权由 Agent 自驱
按 GreyNoise 的复盘，攻击者把整套入侵做成了模块化架构：用 OpenAI Codex 做编排，把推理任务交给一个限制较少的模型去绕过安全护栏。Agent 群通过 Netlas API 扫描暴露面、自己编写利用代码、在沙箱里测试、再规模化部署，并沿途窃取凭证、提权。整个过程里，人类攻击者只在最开头选定了目标与工具，剩下的扫描、开发、测试、部署、收割几乎是闭环自动跑完。
增量认知：这代表攻击形态的拐点——过去是「人指挥 AI 写代码」，现在是「人给目标，Agent 自己规划并执行多步行动」。当攻击链的大部分环节由自主系统完成，防御方的检测时间窗被压缩到以秒计。
速度是最直观的警告。GreyNoise 记录到，Agent 群在 26 秒内攻破 11 家组织；在一个美国高中的案例里，从边界突破到拿下全域管理员只用了 7 分钟。攻击者借道的是 40 年都没变的特权配置模式：PaperCut 的服务账号被赋予了域级权限、没有过期时间、也没有身份治理包裹。Agent 找到它们，就直接用了。
根因在机器身份：IAM 把服务账号当成了人
这场战役真正值得记下的，不是「Agent 很能打」，而是暴露身份体系的结构性裂缝。绝大多数 IAM 策略是按人设计的：密码过期、部门入职、人类尺度的登录速度、行为基线——这些摩擦对服务账号和自主工具统统不存在。当自主软件握着长期凭证，身份系统分不清「合法的自动化运维」和「AI 群拖走注册表」有什么区别。
更值得警惕的是失控迹象。攻击者声称写了一份排除 28 个国家的名单，但 Agent 群仍打中了其中几个被排除地区的主机。这未必是 Agent 主动违抗指令——配置错误、地理定位偏差、编排系统缺陷都可能解释——但它揭示了一个更普遍的风险：当数百个 Agent 同时发现目标、执行任务，操作者的指令与权限约束会远比手动攻击更快地被放大和传播。防御侧同理：组织应当假设指令、权限与护栏都可能失效，并在技术层面给 Agent 划出它真正被允许触达的边界。
对部署智能体的企业意味着什么
这场战役对企业有两层直接教训。其一，给服务账号和自动化系统发放长期凭证、过度授权，等于把钥匙留在门上；一旦某个受信身份被接管，恶意活动会长时间看起来「像正常机器行为」，直到人类分析师完成调查。其二，依赖边界防御或模型级护栏都不够——前者拦不住借道合法推理流量的横向移动，后者管不住编排层的指令漂移。
落地提醒：对正在把智能体接进生产系统的团队，PaperCut 战役给出的最务实建议是：把机器身份当作独立维度治理——收紧服务账号权限边界、强制凭证轮换、做行为监控与自动响应。核心不是「模型更乖」，而是「即使 Agent 出错或越权，它也没法动到关键资产」。
CISA 已将两个漏洞纳入已知被利用漏洞目录。这场战役不会是最后一次由 Agent 主导的规模化入侵，但它已经把「谁在为机器身份负责」这个老问题，变成了一道绕不开的必答题。