Falhas críticas no Paperclip permitem execução remota de comandos via importação de agentes de IA maliciosos
O Paperclip, control plane open source para orquestrar equipes de agentes de IA, tinha três falhas de segurança: uma execução remota de comandos com CVSS 10.0 explorável por atacante não autenticado via importação de um pacote de agente malicioso, um bypass de autenticação por DNS rebinding contra o modo local confiável, e exposição de dados de execução e detalhes do control plane por rotas de API sem autenticação adequada. Todas foram corrigidas na versão v2026.416.0.
A falha mais grave, CVE-2026-41679 (CVSS 10.0), decorre de o Paperclip permitir auto-registro de novos usuários sem convite e emitir automaticamente credenciais de API aprovadas para essas contas recém-criadas. Com essa credencial, um atacante não autenticado pode enviar um pacote `.paperclip.yaml` que define uma nova organização, um agente configurado com o "process adapter" e o comando que esse agente deve executar ao ser importado — comando que roda com os privilégios do processo do próprio servidor Paperclip. Ou seja, a barreira entre "importar a definição de um agente" e "executar código arbitrário no host" simplesmente não existia: importar era executar.
A segunda falha (GHSA-x8hx-rhr2-9rf7, CVSS 9.6) explora o modo `local_trusted`, habilitado por padrão, por meio de DNS rebinding: uma página maliciosa sob controle do atacante executa JavaScript no navegador da vítima que, após o hostname resolver para 127.0.0.1, envia requisições que o Paperclip aceita como same-origin — porque o servidor confia no cabeçalho Host em vez de validar a origem de forma robusta. Isso permite importar um agente malicioso contra uma instância Paperclip rodando localmente na máquina da vítima, sem que ela precise fazer nada além de visitar uma página comum enquanto o Paperclip está ativo. A terceira falha (GHSA-xfqj-r5qw-8g4j, CVSS 8.3) expõe dados de execução, informações de saúde do sistema (versão, modo, feature flags) e documentação de habilidades por rotas de API sem exigir comprovação adequada de acesso, útil para reconhecimento antes de um ataque mais direcionado.
O encadeamento das duas primeiras falhas é o que torna o caso preocupante: DNS rebinding entrega acesso a uma instância local que, em condições normais, estaria protegida por estar atrás de firewall/NAT, e a falha de importação transforma esse acesso em execução de comando root ou com privilégios do processo servidor — sem exigir nenhuma credencial válida do atacante. Isso é agravado pelo fato de o Paperclip ser, por design, um control plane que orquestra múltiplos agentes de IA com acesso a ferramentas e dados corporativos, então comprometer o control plane pode significar comprometer toda a frota de agentes que ele gerencia.
A Rapid7 já publicou um módulo Metasploit para a CVE-2026-41679 em junho de 2026, o que reduz significativamente a barreira técnica para exploração em massa, embora não haja registro de exploração ativa até 5 de agosto de 2026. Organizações que rodam Paperclip devem atualizar para v2026.416.0 ou superior — que exige privilégios de administrador da instância para importações e adiciona validação de hostname e autenticação nas rotas afetadas — e tratar qualquer instância pré-patch exposta à rede ou acessível localmente por navegadores não confiáveis como comprometida até prova em contrário.