1. Kritieke kwetsbaarheden zijn ontdekt in Paperclip, een AI-agent orchestratieplatform dat organisaties helpt bij het beheren van autonome AI-agenten. Paperclip faciliteert dit beheer via het concept van bedrijven, taken, adapters en configureerbare workflows.
2. De ernstigste kwetsbaarheid, met code CVE-2026-41679, heeft een CVSS-score van 10,0, wat duidt op een maximale ernst. Deze kwetsbaarheid treft Paperclip-implementaties die toegankelijk zijn via het netwerk en die gebruikmaken van de standaard geauthenticeerde configuratie.
3. De kritieke kwetsbaarheid is ontstaan door een autorisatie-inconsistentie. Dit hield in dat het importeren van een "company bundle" met een lagere toegangsrechten mogelijk was dan het direct aanmaken van een nieuw bedrijf.
4. Een aanvaller kon deze autorisatie-inconsistentie misbruiken. Door een functie in Paperclip, die gebruikers toestaat om "company bundles" te importeren die .yaml-bestanden bevatten, te manipuleren, kon een aanvaller een bedrijf creëren met een kwaadaardige agentconfiguratie.
5. Een aanvalsroute begon met open registratie, waardoor een externe aanvaller zonder e-mailverificatie een account kon aanmaken. Vervolgens kon een aanvaller, door een CLI-autorisatie-uitdaging te creëren en goed te keuren met hetzelfde account, een persistente board API-token activeren. Dit gaf de aanvaller verhoogde API-toegang.
6. Met deze verkregen API-token kon de aanvaller de importroute voor bedrijven benaderen en een gecreëerde .paperclip.yaml-bundle uploaden. Deze bestanden kunnen agents, hun adapters en commando's definiëren.
7. Het .paperclip.yaml-bestand kon een agent zodanig configureren dat deze de ingebouwde procesadapter van Paperclip gebruikte. Dit stelde de agent in staat om commando's uit te voeren als subprocessen op de server, met de permissies van het besturingssysteemaccount waaronder Paperclip draait.
8. Een succesvolle exploitatie van deze kwetsbaarheid kan leiden tot blootstelling van toepassingsgegevens, broncode-repositories, lokale inloggegevens, geheimen van agentprocessen en interne services.
9. Twee aanvullende kwetsbaarheden verhoogden het algehele risico.
10. Sommige API-endpoints van Paperclip handhaafden de authenticatie of autorisatie op bedrijfsniveau niet consequent. Hierdoor konden gegevens over heartbeat-problemen, agentvaardigheidsdocumentatie en gezondheidsinformatie worden onthuld.
11. De informatie die via deze endpoints kon worden onthuld, kon details bevatten over implementaties, functionaliteiten, authenticatiegereedheid en geïnstalleerde versies.
12. Een andere kritieke kwetsbaarheid betrof de "local_trusted" modus van Paperclip. In deze modus koppelt de service aan 127.0.0.1 en veronderstelt dat alle verzoeken afkomstig zijn van vertrouwde lokale software.
13. Een DNS-rebinding-aanval kon deze aanname doorbreken. Hierdoor kon een door de aanvaller gecontroleerde website, via browserverzoeken, de lokale Paperclip API bereiken. Deze verzoeken konden vervolgens worden behandeld als beheerdersacties.
14. Dit kon leiden tot het importeren en activeren van een kwaadaardige agent, met als gevolg command-uitvoering op de machine van de ontwikkelaar.
15. Paperclip heeft de geïdentificeerde kwetsbaarheden aangepakt. Dit is gedaan door sterkere autorisatie te eisen voor het importeren van nieuwe bedrijven, checks op bedrijfsscoping aan te scherpen, eerder blootgestelde API-routes te beveiligen en validatie van hostnamen toe te voegen in lokaal vertrouwde implementaties.