自律型「ゼロヒューマン企業」AIエージェントを統制するために使われるオープンソースの制御基盤「Paperclip」で、緊急度・重要度がそれぞれ高い3件の脆弱性が新たに公開されました。
Oasisが文書化したこれらの脆弱性のうち、最も深刻なものは完全に未認証のリモート攻撃者が、Paperclipサーバーを稼働させているホスト上で任意のコマンドを実行できてしまうというものです。
CVE-2026-41679（CVSSスコア10.0、GHSA-68qg-g8mg-6pr7）として追跡されているこの脆弱性は、デフォルトの登録設定が有効なままバージョン2026.416.0より前のネットワークアクセス可能な認証済み環境に影響します。
攻撃はPaperclipのオープンな自己登録機能から始まります。この機能はメール認証を必要としません。
攻撃者はまずアカウントを登録し、次にCLI認可フローを悪用します。これはチャレンジ・アンド・アプルーバル方式の承認プロセスですが、独立した承認者を介さずに自分自身のリクエストを自己承認できてしまい、完全に自分の管理下にある永続的なボードレベルのAPI認証情報を発行できてしまいます。
このトークンを手にした攻撃者は、企業インポートルートにおける認可境界の欠如を突きます。企業を直接作成するにはインスタンス管理者権限が必要ですが、機能的に同等なインポート経路はボードレベルのアクセス権限のみで実行できてしまうのです。
攻撃者が用意した.paperclip.yamlバンドルは、組み込みのプロセスアダプターを使ってエージェントを定義し、任意のコマンドと引数を指定できます。
Paperclipは悪意ある企業とエージェントを作成し、攻撃者にアクセス権を付与します。そしてエージェントが「起動」されると、アダプターはPaperclipサーバーのOSユーザー権限で攻撃者のコマンドを実行し、完全なリモートコード実行が成立します。これには機密情報、ソースコード、そしてそのホストから到達可能な内部サービスの露出も含まれます。
2件目の勧告（CVSSスコア8.3）では、認証やテナント単位のスコープチェックが適用されていない複数のルートについて記述されています。
未認証の呼び出し元は、テナントをまたいだハートビート実行の問題データを取得できたほか、偵察活動に有用なエージェント向けスキルドキュメントを取得したり、デプロイモード・バージョン・機能フラグの情報を漏洩する冗長な/api/healthレスポンスを読み取ったりすることが可能でした。これらの情報は攻撃者が脆弱なインスタンスを特定する手がかりになります。
3件目の脆弱性（CVSSスコア9.6）は、Paperclipのデフォルトモードである「local_trusted」モードに影響します。このモードは、ループバックにバインドされたサービスに到達するあらゆるリクエストに対して、暗黙的に管理者権限を付与してしまいます。
DNSリバインディングを使うことで、攻撃者が管理するWebページは被害者のブラウザを騙し、攻撃者が制御するHostヘッダーを付与したまま、同一オリジンのリクエストを127.0.0.1宛てに再送させることができます。
Oasisによれば、これら3件の脆弱性はいずれも同じパターン、すなわち境界における暗黙的な信頼の前提に起因しているといいます。自己発行された認証情報、保護されていないルート、あるいはループバックバインディングが、本来必要な正規の認可の代わりとして機能してしまっている点です。
Paperclipはバージョン2026.416.0で、インポート認可の不整合と企業スコープの欠陥にパッチを適用しました。また別途、ローカルモード（0.3.1以降）についてもHostヘッダー検証を追加し、エージェント安全なインポートでは強力なアダプターをブロックするなど、インポート制御をより厳格化しています。
運用担当者は直ちにアップグレードを実施し、公開範囲の観点から必要な場合はオープン登録を無効化した上で、AIエージェントの設定情報を、あらゆる特権的なデプロイ成果物と同様の精査が必要な「実行可能コード」として扱うべきです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの全容を可視化し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/critical-paperclip-ai-flaws/
