アイデンティティと認可に関する誤った前提が、影響を受けるPaperclip導入環境においてリモートコード実行、データ漏えい、開発者マシンの侵害につながる恐れがあります。
セキュリティ研究者らは、オープンソースのAIエージェントプラットフォーム「Paperclip」に影響する新たな脆弱性の詳細を明らかにし、AIセキュリティにおける信頼の前提そのものに警鐘を鳴らしています。これらの脆弱性は連鎖させることで、リモートコード実行(RCE)、データ漏えい、開発者マシンの侵害につながる可能性があります。
Oasis Securityが水曜日の公開に先立ちCSOと共有した調査結果では、Paperclipのさまざまな展開モードに影響する3件の最近の脆弱性の詳細が明らかにされています。これには、最高深刻度の認可バイパスの問題、適切に保護されていない複数のAPIエンドポイント、そしてローカルに展開されたインスタンスに対するドライブバイ型RCEを可能にするDNSリバインディングの欠陥が含まれます。
Oasisは、これらすべてがPaperclipに共通する同一の信頼前提に起因していると主張しています。
「Oasis Securityが公開したPaperclipの脆弱性は、単一のオープンソースプロジェクトの問題にとどまらない、より重大な事態を露呈しています。それは、AIエージェントのコントロールプレーンがアイデンティティの境界をどう扱うかという、構造的な失敗です」と、Oasisの調査結果をレビューしたKeeper SecurityのCEO兼共同創業者であるDarren Guccione氏は述べています。「エージェント設定の制御を奪った攻撃者は、単にデータにアクセスするだけではありません。そのエージェントがアクセスできるあらゆるシステムに対して、権限を持つ操作を指示できるようになるのです」
これらの脆弱性は現在すべて修正済みで、バージョン2026.416.0および0.3.1で対応パッチが提供されています。
コード実行に悪用された設定
最も深刻な発見はCVE-2026-41679として追跡されており、Paperclipのデフォルトの登録設定を使用する認証済み展開環境に影響していました。
Oasisの調査によると、攻撃者は未認証のユーザーとして開始し、自らアカウントを登録した上で、自身のコマンドライン(CLI)認可リクエストを自分で承認し、別途の管理者承認を必要とすることなく永続的なボードレベルのAPIアクセス権を取得できてしまうことがわかりました。
つまり、インターネット上の攻撃者は単にアカウントを登録してただちにログインするだけで、そのアカウントを使ってCLI経由でボードレベルの権限を獲得できてしまうのです。
Oasisの研究者らによれば、この権限があれば、プラットフォームの企業インポート機能に存在する別の認可の不整合の問題を悪用するのに十分だったといいます。
影響を受けるバージョンでは、新規企業を直接作成する際にはインスタンス管理者権限が必要とされていた一方で、企業をインポートする際にはボードレベルの権限しか要求されていませんでした。インポートされる企業バンドルには実行可能なエージェント定義を含めることができたため、攻撃者は悪意のある「.paperclip.yaml」ファイルをアップロードしてプロセスベースのエージェントを指定し、そのエージェントを実行させることで、Paperclipサーバーの権限下で任意のOSコマンドを実行できてしまいました。
Oasisは、こうした理由から、AIエージェントの設定は単純なデータとしてではなく、実行可能なものとして扱うべきだと警告しています。Paperclipは、CSOのコメント依頼にただちには応じませんでした。
同一の前提を突いたその他のバグ
この重大なRCEの連鎖のほかにも、Oasisは同じ構造的欠陥を浮き彫りにする2件の脆弱性を公開しています。
1件目は、複数のAPIエンドポイントが認証を欠いていたり、テナントレベルの認可を適切に実施していなかったことに関するもので、ワークフロー情報、スキルのドキュメント、展開に関するメタデータが露出し、攻撃者による偵察やテナント横断的な情報漏えいに利用され得る状態でした。
もう1つの問題(CVSS 9.6)は、Paperclipのデフォルトの展開モードである「local_trusted」に影響するもので、このプラットフォームはlocalhostに到達するリクエストは信頼できるソフトウェアから発信されたものであると想定していました。Oasisは、DNSリバインディング攻撃によってこの前提を破れることを実証しました。これにより、攻撃者が管理するWebページがローカルのPaperclipサービスと通信できるようになり、悪意のあるエージェントをインポート・起動させることで、最終的には開発者のマシン上でコマンドを実行できてしまいます。
Paperclipは、新規企業インポートに管理者権限を必須とし、関連操作全体にわたって認可チェックを強化し、回帰テストを追加することで、バージョン2026.416.0でRCEの経路と情報漏えいのAPIの問題にパッチを適用しました。
3件目の問題は、ホスト名検証の有効化、インポート処理の堅牢化、およびエージェントセーフなインポートにおけるリスクの高いアダプターの制限により、Paperclip 0.3.1で対処されました。
Guccione氏は、従来型のアクセス制御は自律的に動作するエージェントには適さないと主張しています。「もはやセキュリティ上の問題は、認証情報がエントリー時点で有効かどうかではありません」と同氏は述べています。「問われるべきは、その認証情報を呼び出しているエージェントが、意図された範囲内で、意図された目的のために、その操作を許可する権限を持つ人間の権限の下で動作しているかどうかなのです」
