オープンソースのAIエージェントオーケストレーションプラットフォームに存在する3件の脆弱性により、機密データが露出したほか、未認証の攻撃者がサーバーや開発者のマシン上でコマンドを実行できる状態になっていたことが判明しました。うち2件は深刻度「クリティカル」、1件はCVSSスコアが最大値の10.0と評価されています。
Oasis Securityが8月4日に公開した新たな調査によると、これらの脆弱性はPaperclipに影響します。Paperclipは、開発元が「人手を介さない企業（zero-human companies）」を運用するためのプラットフォームと説明する制御プレーンです。Oasisは、認証モードとローカルデプロイメントモードの評価中にこの3件のバグをすべて発見しました。
今回の発見は、これまで相次いできた同種の脆弱性公表の流れに続くものです。その中には、深刻なFlowiseの脆弱性や、公開からわずか20時間で悪用されたLangflowのバグも含まれます。
セルフ登録からコード実行へ
CVE-2026-41679（CVSS 10.0）は認証済みデプロイメントに影響していました。Paperclipではメール認証なしでセルフ登録が可能で、そのCLI認証フローでは新規ユーザーが自分自身の認証情報チャレンジを承認できてしまいました。これにより、そのアカウントは別途の承認者を必要としない、永続的なボードレベルのAPIキーへと変わってしまいます。
このキーは会社インポート用のルートにも到達できました。Paperclipでは会社の直接作成をインスタンス管理者に限定していたものの、これと同等のインポート用パスではボードレベルのアクセス権があるかどうかしかチェックしていなかったのです。
攻撃者はこれを悪用し、プロセスアダプター（指定したコマンドを子プロセスとして起動する正規機能）を設定したエージェントを含むバンドルを持ち込むことができました。そのエージェントを起動（wake）すると、サーバーのオペレーティングシステム権限で攻撃者のコマンドが実行されてしまいます。
2件目の発見であるGHSA-xfqj-r5qw-8g4j（CVSS 8.3）は、アクセスチェックを一切行っていない複数のルートに関するもので、ハートビートデータ、エージェントのドキュメント、ヘルス情報が露出していました。
AIエージェントプラットフォームにおけるRCEの詳細はこちら: 深刻なFlowiseの脆弱性が攻撃者にサーバーの完全な制御を許す
攻撃経路となった開発者のブラウザ
3件目の脆弱性であるGHSA-x8hx-rhr2-9rf7（CVSS 9.6）は、逆方向から同じ実行シンクに到達するものでした。Paperclipのローカル開発モードはループバックにバインドされ、すべてのリクエストを暗黙のうちにインスタンス管理者として扱います。この前提はローカルクライアントには当てはまりますが、ブラウザには当てはまりません。
DNSリバインディングにより、攻撃者が制御するWebページがこの境界を越えることが可能でした。攻撃者のサーバーに到達できなくなると、ブラウザはそのホスト名をループバックに対して再試行しますが、その際も接続を同一オリジンとして扱い続けます。Paperclipはこのリバインドされたリクエストを管理者アクションとして受け入れてしまい、当該ページが悪意のあるエージェントをインポートして起動することで、開発者のマシン上でコマンドが実行されてしまう結果となりました。
Keeper SecurityのCEOであるDarren Guccione氏は、今回の発見は「AIエージェント制御プレーンがID境界をどう扱うかという点における構造的な欠陥」を示していると述べています。同氏によれば、エージェント設定を掌握した攻撃者は、単にデータにアクセスできるだけでなく、そのエージェントが接するあらゆるシステムに対して特権的な操作を指示できてしまうといいます。
3件の脆弱性はいずれも公表後に修正されています。認証モードに関する2件の発見はPaperclip 2026.416.0で修正され、新規会社のインポートにはインスタンス管理者権限が必須となりました。リバインディングの脆弱性は0.3.1で対処され、ローカルモードでホスト名の検証が有効化されています。
翻訳元: https://www.infosecurity-magazine.com/news/paperclip-ai-vulnerabilities-rce/
