Разкрити са критични уязвимости в платформата за оркестрация на AI агенти Paperclip, които биха могли да позволят на атакуващи да получат администраторски достъп и да изпълняват команди на засегнатите сървъри.
Най-сериозният дефект, проследяван като CVE-2026-41679, има CVSS оценка 10.0 и засяга достъпни по мрежа инсталации на Paperclip, използващи конфигурацията по подразбиране с автентикация.
Paperclip помага на организациите да управляват автономни AI агенти чрез компании, задачи, адаптери и конфигурируеми работни процеси. Ключова функция позволява на потребителите да импортират фирмени пакети, съдържащи „.paperclip.yaml“ файлове. Тези файлове могат да дефинират агенти, техните адаптери за изпълнение и командите, които изпълняват, което превръща един на пръв поглед прост импорт на конфигурация във високорисков път за изпълнение.
Критичната уязвимост произтича от разминаване в нивата на упълномощаване. Paperclip изисква права на администратор на инстанцията за директно създаване на компания. Маршрутът за импортиране обаче позволява на потребител с по-ниско ниво на достъп (на ниво борд) да импортира нова компания. Даден атакуващ може да експлоатира тази разлика, за да създаде компания, съдържаща конфигурация със злонамерен код.
Веригата на атаката започва с отворена регистрация. Отдалечен атакуващ може да регистрира акаунт без потвърждение по имейл, да се впише, да създаде CLI предизвикателство за оторизация и да го одобри чрез същия акаунт. Този процес активира постоянен API токен за борда, като на практика предоставя на атакуващия повишен достъп до API без независима стъпка за одобрение. Използвайки този токен, киберпрестъпникът може да получи достъп до маршрута за импортиране на компании и да качи компрометирания пакет.
Злонамереният файл „.paperclip.yaml“ може да конфигурира агент да използва вградения в Paperclip процесен адаптер, който стартира команди като дъщерни процеси на хост сървъра. След като импортира компанията, атакуващият може да активира агента, карайки Paperclip да изпълни избраната команда. Според доклада на Oasis, успешното експлоатиране би предоставило на атакуващия правата на потребителския акаунт в операционната система, който изпълнява Paperclip. В зависимост от инсталацията, това може да изложи на риск данните на приложението, хранилищата с изходен код, локалните идентификационни данни, тайните, налични за процесите на агента, и вътрешните услуги, достъпни от хоста.
Два допълнителни дефекта разширяват риска. Първият включва API краPoints, които не налагат последователно автентикация или упълномощаване на ниво компания. Те излагат данни за състоянието на агентите, документация за техните умения (skills) и информация за изправността на системата, която може да разкрие детайли за инсталацията, флагове за функциите, готовност за автентикация и инсталираната версия.
Вторият критичен проблем засяга режима „local_trusted“ на Paperclip. В този режим услугата се свързва с 127.0.0.1 и приема, че входящите заявки произхождат от доверен локален софтуер. Изследователите установиха, че DNS rebinding атака може да наруши това предположение. Контролиран от атакуващ уебсайт може да използва заявки през браузъра, за да достигне до локалния API на Paperclip, и те да бъдат третирани като действия на администратор. Тогава атакуващият може да импортира и активира злонамерен агент, което да доведе до изпълнение на команди на машината на разработчика.
Paperclip отстранява уязвимостите чрез изискване на по-строго упълномощаване за импортиране на нови компании, затягане на проверките за обхвата на компаниите, защита на изложените преди това API маршрути и добавяне на валидация на хост името в локално доверени инсталации. Организациите трябва незабавно да инсталират корекции за сигурност и да се обновят, да ограничат публичната регистрация, където не е необходима, да прегледат импортираните конфигурации на агенти и да третират полетата за адаптери и команди на агентите като привилегирован изпълним код.