オープンソースのAIエージェント統合基盤Paperclip（AIエージェント統合基盤）に存在する重大な脆弱性により、攻撃者が公開サーバー上や開発者のローカルマシン上でリモートからコマンドを実行できる可能性があることが分かりました。これらの脆弱性は、エージェントのインポートやAPIルートにおける認可境界の破綻、およびlocalhostに対する信頼の前提から生じています。
脆弱性評価サービス
Paperclipは、自律型エージェントを「company（企業）」単位で協調動作させるよう設計されており、これらのエージェントを実行環境に接続するアダプター機能を備えています。
組み込みのプロセスアダプターは、設定済みのコマンドをPaperclipサーバーの子プロセスとして正当に起動できるため、エージェントの設定内容そのものがセキュリティ上重要な意味を持ちます。
つまり、エージェントをインポート・設定・有効化できる者であれば、Paperclipサービスアカウントの権限でコードを実行できてしまう可能性があるということです。
重大なPaperclip AIエージェントの脆弱性
Oasis Securityによると、最も深刻な問題はCVE-2026-41679として追跡されており、CVSSスコア10.0と評価されています。この脆弱性は、認証モードで稼働しネットワークからアクセス可能なPaperclip環境で、デフォルトの登録設定が使われている場合に影響します。バージョン2026.416.0より前のバージョンが影響を受けます。
認証されていない攻撃者は、メール認証を経ることなくアカウントを登録し、CLI認可チャレンジを作成した上で、サインイン後に同じチャレンジを自ら承認することが可能でした。
これにより、攻撃者は永続的なボードレベルのAPI認証情報を有効化できてしまいます。一方で、company(企業)の直接作成にはインスタンス管理者権限が必要でしたが、これとは別のcompany(企業)インポート経路ではボードレベルのアクセス権限のみで実行できました。
このインポート機構は、エージェント定義やアダプター設定を含む`.paperclip.yaml`マニフェストを受け付けていました。攻撃者は、任意に選んだコマンドを持つプロセスベースのエージェントを含む新規companyをインポートした上で、Paperclipのウェイクアップ・エンドポイントを呼び出すことが可能でした。プロセスアダプターは、そのコマンドをPaperclipサーバーのOSユーザー権限で実行してしまいます。
想定される影響としては、アプリケーションデータ、ソースコード、ローカル認証情報の窃取、エージェントプロセスへの機密情報の露出、さらには影響を受けたホストからアクセス可能な内部サービスへの侵入拡大(ラテラルムーブメント)などが挙げられます。
Paperclipはバージョン2026.416.0でこの脆弱性に対処し、新規company(企業)のインポートにインスタンス管理者権限を必須化するとともに、既存company(企業)のインポートに対してもアクセスチェックを強化しました。
別の重大度「高」の勧告GHSA-xfqj-r5qw-8g4j（CVSS 8.3）では、認証モードにおいて本来必要な認証やcompany(企業)単位のスコープ制御が欠落しているAPIエンドポイントが特定されました。
影響を受けたルートでは、ハートビート実行データ、エージェントのスキルドキュメント、そしてデプロイモード、バージョン、ブートストラップ状態、機能フラグを含むヘルス情報が露出していました。
これらのエンドポイント単独ではリモートコード実行を可能にするものではありませんでしたが、攻撃者の偵察活動の手間を減らし、テナントをまたいだワークフロー情報が漏えいする可能性がありました。
これを受けてベンダーは、認証機能の追加、company(企業)アクセスの検証、認証なしで返されるヘルス情報の削減、そして回帰テストの拡充で対応しました。
3つ目の脆弱性GHSA-x8hx-rhr2-9rf7は、CVSS 9.6のDNSリバインディング脆弱性で、バージョン0.3.1より前のPaperclipのデフォルトのlocal_trustedモードに影響します。このモードでは、ループバックサービスへのリクエストが暗黙的に管理者操作として扱われていました。
脆弱性評価サービス
攻撃者が用意したWebページは、DNSリバインディングを利用して、127.0.0.1で稼働するローカルのPaperclipインスタンスに同一オリジンのリクエストを送信できました。Paperclipが任意のHostヘッダーを受け入れてしまう仕様だったため、この悪意あるページはプロセスベースのエージェントをインポート・有効化でき、結果として開発者のローカル権限でのコード実行につながる恐れがありました。
Paperclipを運用している組織は、影響を受けるリリースより新しいバージョンへアップグレードし、ネットワーク露出を制限し、登録設定を見直した上で、インポートされたエージェント設定を実行可能なコンテンツとして扱うべきです。
エージェント基盤の開発元は、デフォルトで拒否するデフォルト拒否(deny-by-default)の認可ポリシーを実装し、ローカルサービスに関するホストやオリジンの前提を検証し、強力な実行アダプターを導入するインポートに対しては承認ワークフローを必須とすべきです。
新たなフィッシングやマルウェアが自社に被害を及ぼす前に阻止しましょう。 世界15,000のSOCから寄せられるライブインテリジェンスを統合
翻訳元: https://gbhackers.com/critical-paperclip-ai-agent-flaws/
