Duas falhas de segurança no Paperclip podem permitir que invasores executem comandos em um servidor de rede ou no computador de um desenvolvedor.
O Paperclip é um plano de controle open source para equipes de agentes de IA, e ambos os caminhos dependem da importação de um agente malicioso e de sua ativação.
Uma terceira falha pode expor dados sensíveis e detalhes do plano de controle por meio de rotas da API que não aplicavam as verificações de acesso esperadas.
O caminho mais grave, no lado do servidor, rastreado como
CVE-2026-41679
(pontuação CVSS: 10,0), não exige conta pré-existente nem interação da vítima em implantações acessíveis pela rede que usem o modo autenticado com a configuração padrão de registro.
O segundo caminho, identificado como GHSA-x8hx-rhr2-9rf7 (pontuação CVSS: 9,6), exige que um usuário abra uma página controlada pelo invasor enquanto o Paperclip está em execução no modo local_trusted, que é o padrão.
A versão marcada como Paperclip v2026.416.0 contém a correção de autorização de importação e a proteção de validação de hostname discutidas abaixo, embora o aviso sobre DNS rebinding não identifique uma versão corrigida.
A Rapid7 lançou desde então um módulo público de Metasploit para a
CVE-2026-41679
, e o enriquecimento SSVC da CISA, incorporado pelo NVD, classifica a exploração como prova de conceito.
Até 5 de agosto de 2026, nenhuma fonte considerada confiável e analisada relatou exploração em ambiente real.
Operadores devem atualizar para a v2026.416.0 ou posterior e revisar como estão configurados o registro e a exposição da implantação.
A análise da Oasis Security, apoiada por um relatório técnico de 17 páginas, conecta as descobertas por uma propriedade do produto: a configuração de um agente pode se transformar em comportamento executável.
O adaptador de processo embutido no Paperclip inicia deliberadamente um comando configurado como processo filho do servidor.
Esse recurso de execução é legítimo.
As vulnerabilidades mudaram quem podia alcançá-lo e em quem a configuração seria confiada pelo servidor.
“A configuração do agente deve ser tratada como entrada executável”, disse a Oasis.
Usuários não autorizados ou requisições originadas no navegador podiam introduzir e ativar uma configuração que chegava ao iniciador de processos.
A cadeia no lado do servidor se aplica a implantações autenticadas e acessíveis pela rede, usando a configuração vulnerável de registro.
A cadeia via localhost se aplica quando um usuário abre uma página controlada pelo invasor enquanto o Paperclip está em execução na configuração padrão local_trusted.
Em ambos os casos, a configuração do agente sob controle do invasor chega ao adaptador de execução do host.
Uma Chave de Conselho Aprovada pelo Próprio Dono
O ataque contra uma instância exposta à internet começa com o fluxo padrão de inscrição aberta do Paperclip.
Um invasor pode se registrar sem convite ou e-mail verificado, fazer login e entrar no processo de autorização da interface de linha de comando.
O mesmo usuário recém-registrado pode criar um desafio de CLI pendente e aprová-lo, ativando uma credencial duradoura de conselho na API sem que um administrador separado tome essa decisão.
Essa credencial não deveria ser suficiente para criar uma empresa de nível superior.
O Paperclip exigia privilégios de administrador da instância quando o usuário criava uma empresa diretamente, mas a rota equivalente de importação para uma nova empresa aceitava acesso de nível de conselho.
Assim, o invasor podia fornecer um pacote .paperclip.yaml definindo uma nova empresa, um agente usando o adaptador de processo e o comando que esse agente executaria.
A importação também tornava o invasor membro da nova empresa, então a verificação normal de ativação era aprovada quando ele iniciava o agente.
O Paperclip então executava o comando com os privilégios do sistema operacional do processo do servidor.
O impacto prático depende da conta de serviço e do host.
A Oasis afirmou que isso pode incluir dados da aplicação, repositórios de código, credenciais armazenadas localmente, segredos disponíveis para processos de agente e serviços internos acessíveis a partir da máquina.
O Paperclip corrigiu a
CVE-2026-41679
na v2026.416.0 ao exigir acesso de administrador da instância para importações voltadas a uma nova empresa e acesso de empresa para importações direcionadas a uma empresa existente.
A mesma verificação agora protege tanto a pré-visualização quanto a execução da importação.
O registro aberto continua disponível, mas um usuário de conselho recém-registrado já não pode tratar a rota de importação de nova empresa como uma operação de administrador da instância.
A Rapid7 publicou em junho de 2026 um módulo de Metasploit que automatiza a cadeia de ataque de seis requisições da
CVE-2026-41679
.
O enriquecimento CISA-ADP incorporado pelo NVD classifica a falha como automatizável, com impacto técnico total e exploração em prova de conceito.
A ausência no KEV não exclui exploração.
O Navegador Cruza para o Localhost
O segundo caminho crítico mira um modelo de implantação diferente.
Na configuração padrão local_trusted, o Paperclip faz bind à interface de loopback e historicamente tratava toda requisição que chegava ao serviço como se viesse de um administrador da instância.
Isso eliminava atritos de autenticação para desenvolvimento local, mas também transformava localização de rede em identidade.
A Oasis demonstrou um ataque de DNS rebinding em que um hostname controlado pelo invasor resolvia tanto para o servidor do atacante quanto para 127.0.0.1.
O navegador carregava primeiro JavaScript do servidor do invasor.
Depois que esse servidor parava de responder, as requisições posteriores para o mesmo hostname alcançavam o serviço local do Paperclip.
O navegador ainda considerava as requisições como same-origin, e o Paperclip aceitava o hostname do invasor no cabeçalho Host.
A página então podia chamar a API de importação do Paperclip, instalar uma empresa contendo um agente baseado em processo e acionar o endpoint de ativação.
Como o modo local atribuía autoridade de administrador às requisições rebinding, o servidor executava o comando do invasor com os privilégios do desenvolvedor.
Nenhum token do Paperclip, cookie de sessão ou credencial roubada foi necessário.
A prova de conceito documentada foi validada no macOS com Firefox, então o registro público não comprova o mesmo resultado de ponta a ponta em todos os navegadores e sistemas operacionais.
A correção direta foi a validação de hostname.
O código-fonte do Paperclip marcado como v2026.416.0 ativa a proteção de hostname privado para implantações privadas em modo local_trusted ou autenticado.
A proteção é executada antes do middleware que atribui uma identidade à requisição, fazendo com que uma requisição rebinding com hostname não autorizado seja rejeitada antes de alcançar a API.
Rotas Sem as Suas Proteções
O terceiro aviso, GHSA-xfqj-r5qw-8g4j (pontuação CVSS: 8,3), cobre várias rotas da API em modo autenticado que não rejeitavam de forma consistente requisições não autenticadas ou entre empresas diferentes.
Um chamador com um identificador válido de heartbeat-run podia recuperar os dados de issue associados sem provar acesso à empresa.
Era uma rota de divulgação direcionada, não uma enumeração irrestrita, porque o chamador ainda precisava obter ou descobrir um identificador de execução válido.
Outras rotas expostas retornavam a documentação de skills voltada para agentes do Paperclip, incluindo caminhos de API e convenções de autenticação, ou divulgavam informações de integridade como modo de implantação, versão, prontidão de autenticação, estado de bootstrap, exposição e flags de recurso.
A rota de desafio de CLI sem autenticação também fazia parte da cadeia de geração de credenciais usada pela
CVE-2026-41679
.
O design subjacente permitia que uma requisição sem autenticação continuasse pelo middleware com a identidade “no actor”, deixando para cada rota a responsabilidade de repetir sua própria verificação.
O Paperclip adicionou autenticação às rotas gerais de skills, verificações de acesso à empresa para a recuperação de issues de heartbeat, rotas de onboarding limitadas por convite e uma resposta de integridade reduzida para usuários não autenticados.
Nos três achados, o Paperclip confiava em uma credencial, uma rota ou uma localização de rede sem aplicar a verificação exigida pela operação seguinte.
As falhas concretas foram credenciais aprovadas pelo próprio usuário, verificações ausentes em rotas e pressupostos de localhost confiável.
Os Registros Não Batem
O Paperclip usa dois rótulos de versão para o mesmo código marcado.
O release de segurança do GitHub é v2026.416.0, enquanto os manifestos do servidor e da CLI dentro dessa tag informam a versão 0.3.1.
Essa dupla rotulagem parece explicar por que os avisos se referem tanto a 0.3.1 quanto a 2026.416.0.
O aviso sobre DNS rebinding ainda não lista uma versão corrigida.
Uma revisão no código da tag v2026.416.0 encontrou a proteção de hostname ativada para implantações privadas em local_trusted.
O mesmo código marcado exige privilégios de administrador da instância para uma importação de nova empresa e bloqueia adaptadores de processo e HTTP do caminho restrito de importação seguro para agentes.
Os registros ainda não coincidem.
O código marcado como v2026.416.0 contém as correções relevantes, enquanto o aviso sobre DNS rebinding ainda não traz um campo de versão corrigida e o NVD mantém em seu histórico metadados antigos de versões afetadas.
Para operadores, a leitura mais segura é tratar a v2026.416.0 ou posterior como o ponto de atualização, em vez de confiar nos metadados mais antigos.
As notas de lançamento do Paperclip orientam todas as implantações a atualizar, e a Oasis recomenda a v2026.416.0 ou posterior.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...