Paperclip is een open-source control plane voor teams die met AI-agenten werken. Juist die centrale rol maakt het ook aantrekkelijk: onderzoekers ontdekten meerdere gebreken waarbij een aanvaller via een kwaadaardige agent-import uiteindelijk opdrachten op een server of op de computer van een ontwikkelaar kan laten uitvoeren. In dit artikel zetten we de Paperclip AI kwetsbaarheden op een rij, inclusief de impact, de aanvalspaden en de belangrijkste maatregelen.
Let op: de uitwerking hangt sterk af van hoe Paperclip is ingericht. In sommige scenario’s is geen interactie met het slachtoffer nodig, terwijl een ander pad draait om een gebruiker die een pagina bezoekt terwijl Paperclip lokaal draait.
Twee uitvoerbare paden door agent-import
De kern van de problemen is dat Paperclip import-operaties gebruiken die later kunnen doorwerken naar het uitvoeren van code of commando’s. In beide ernstige gevallen eindigt de keten met configuratie die door de applicatie als uitvoerbaar gedrag wordt behandeld.
Volgens de analyse van Oasis Security (onderbouwd met een technisch rapport van 17 pagina’s) kun je agentconfiguratie beschouwen als “executables input”. Anders gezegd: wat je toelaat aan configuratie, kan door het systeem worden omgezet in acties op het host-systeem.
CVE-2026-41679: server-side hostcommando’s (CVSS 10.0)
De meest ernstige bevinding is geregistreerd als CVE-2026-41679 met een CVSS-score van 10.0. In het server-side scenario gaat het om netwerk-toegankelijke Paperclip-deployments die draaien in een geauthenticeerde modus, met een bepaalde standaard configuratie rondom registratie.
De aanval vereist geen vooraf bestaande account en ook geen specifieke actie van het slachtoffer. De praktische route begint bij Paperclip’s standaard open-signup flow: een aanvaller kan zich registreren, inloggen en vervolgens de CLI-autorisatiestap doorlopen.
Daarna kan de aanvaller een import van een agent uitvoeren waarbij een specifieke configuratie wordt meegeleverd. Die import maakt het mogelijk om een board API-credential te gebruiken zonder dat een aparte instantiebeheerder die beslissing daadwerkelijk hoeft te nemen.
Vervolgens kan de aanvaller een bundel met een nieuwe company-constructie aanleveren, een agent die een “process adapter” gebruikt, en het command dat die agent moet starten. Paperclip start dat command als een child process van het serverproces, dus met de OS-rechten van de Paperclip-server zelf.
Oasis Security geeft daarbij aan dat de impact kan variëren, maar in het ergste geval kan het gaan om toegang tot application data, bronrepositories, lokaal opgeslagen credentials, secrets die beschikbaar zijn voor agent-processen en interne diensten die bereikbaar zijn vanaf de machine.
GHSA-x8hx-rhr2-9rf7: localhost pad via browser (CVSS 9.6)
Naast het server-side pad is er een tweede, eveneens zeer kritieke route: GHSA-x8hx-rhr2-9rf7 met een CVSS-score van 9.6. Dit pad speelt vooral bij de default local_trusted-modus.
In deze configuratie bindt Paperclip aan de loopback-interface en wordt lokaal netwerk-identiteit anders behandeld dan in een streng geauthenticeerde productiesituatie. De aanval gebruikt een DNS-rebinding-aanpak: een aanvaller beheert een hostname die eerst naar de aanvallersserver resolveert en daarna naar 127.0.0.1.
De browser laadt dan JavaScript van de aanvallersserver. Wanneer later dezelfde hostname opnieuw wordt bevraagd, bereikt het verkeer de lokale Paperclip-service. Omdat de browser de requests als same-origin ziet, accepteert Paperclip het hostname in de Host-header als “vertrouwd”.
Daarna kan de pagina Paperclip’s import API aanroepen om een company te importeren die een process-based agent bevat, en vervolgens de wakeup endpoint triggeren. In local_trusted wordt dat als admin-waardig verkeer gezien, waardoor het command draait met ontwikkelaarsrechten.
Het gepubliceerde proof-of-concept is gevalideerd op macOS met Firefox. De publicatie is daarmee overtuigend, maar bewijst niet per definitie hetzelfde eindresultaat voor alle browsers en besturingssystemen.
Waarom een “trusted” omgeving toch gevaarlijk kan zijn
Beide paden worden duidelijk wanneer je naar de onderliggende aannames kijkt: Paperclip vertrouwt in bepaalde routes op (1) de waarde van een credential, (2) de controle die een specifieke API-route wel of niet uitvoert, of (3) de netwerk-locatie als identiteitsanker.
Als de juiste guard niet op precies het juiste moment wordt toegepast, kan een stap die oorspronkelijk bedoeld was voor vertrouwde configuratie toch terechtkomen bij de executielaag. Daarom benadrukt Oasis Security dat agentconfiguratie als uitvoerbare input moet worden behandeld.
Extra kwetsbaarheid: API-routes missen toegangschecks
Naast de twee hoge risico’s is er ook een derde bevinding: GHSA-xfqj-r5qw-8g4j met een CVSS-score van 8.3. Hierbij gaat het niet direct om het hostcommando-pad, maar om API-routes in geauthenticeerde modus die niet consistent unauthenticated of cross-company verzoeken afwijzen.
Een deel van de route-inzichten draait om het ophalen van issue data op basis van een heartbeat-run identifier, waarbij de aanvrager onvoldoende hoeft te bewijzen dat de data ook daadwerkelijk aan zijn of haar company is gekoppeld. Dat is geen “open listing”, maar eerder een gerichte disclosure zodra de juiste run identifier bekend is.
Daarnaast zijn er routes die agent-gerelateerde skill documentatie blootleggen, inclusief API-pad-informatie en authenticatie-afspraken. Ook gezondheidsinformatie kan lekken, zoals deployment mode, versiestatus, authenticatie readiness, bootstrap state, exposure en feature flags.
Uiteindelijk geldt ook hier: het systeem liet toe dat een verzoek verder ging door middleware met een “no actor”-identiteit, waarna elke route zelf nog moest onthouden welke check verwacht werd. Paperclip heeft dit later hersteld door o.a. authenticatie toe te voegen aan algemene skill routes, company-access checks toe te voegen voor heartbeat issue retrieval, invite-gescoped onboarding routes te beveiligen en de health response voor unauthenticated gebruikers te verlagen.
Wat is er opgelost en wat moet je nu doen?
De updates zijn gekoppeld aan Paperclip v2026.416.0 of later. In de broninformatie wordt aangegeven dat deze tag de import-authorization fix en een hostname-validation guard bevat. Tegelijk wordt vermeld dat een specifieke DNS-rebinding advisory mogelijk geen gepatchte versie noemt.
Verder heeft Rapid7 een publieke Metasploit-module uitgebracht die het CVE-2026-41679 aanvalspad automatiseert. Ook wordt er gesproken over een NVD-classificatie met verrijking die exploitation als proof-of-concept typeert. In de periode die is nagekeken was er nog geen melding van exploitatie in het wild, maar dat zegt vooral iets over de zichtbaarheid op dat moment, niet over het risico.
Concreet: upgrade naar v2026.416.0 of later
Het meest praktische advies: upgrade naar Paperclip v2026.416.0 of een nieuwere versie. De fabrikant/maintainer rekent erop dat deployments upgraden, en Oasis stelt eveneens v2026.416.0 of later voor als veilig upgradepunt.
Check je registratie- en importblootstelling
Voor het server-side pad is vooral de combinatie van netwerk-toegankelijke deployments, geauthenticeerde modus en de standaard registratie- en importconfiguratie relevant. Controleer daarom niet alleen de versie, maar ook hoe onboarding en company-imports zijn ingesteld.
In de fix wordt beschreven dat Paperclip importen die richten op een nieuwe company extra rechten vereisen: namelijk instance-administrator toegang. Voor importen naar bestaande company geldt een check op company access. Dit beschermt volgens de broninformatie zowel import preview als het daadwerkelijk uitvoeren.
Voorkom rebound-achtige hostname vertrouwensproblemen
Voor local_trusted is er een direct antwoord gevonden in hostname validation. De guard draait vóór de middleware die een request aan een identiteit koppelt, waardoor rebound requests met een niet-toegestane hostname worden geweigerd voordat de API-route ze kan verwerken.
Behalve versie-upgrade helpt het ook om local deployments zo “strict” mogelijk te houden: beschouw localhost-trust niet als een vrijbrief, zeker niet wanneer er browserverkeer, DNS en host headers een rol kunnen spelen.
Let op: versie-aanduidingen verschillen in het ecosysteem
Een aandachtspunt voor beheerders: in de communicatie rond Paperclip lijken er twee labels te bestaan voor dezelfde code. In de broninformatie wordt genoemd dat de GitHub security release v2026.416.0 aanduidt, terwijl server- en CLI-manifests in die tag rapporteren dat de versie intern 0.3.1 is.
Daarnaast zegt de DNS-rebinding advisory mogelijk nog niets over een gepatchte versie. In zo’n geval is de veiligste interpretatie volgens de broninformatie om v2026.416.0 of later als upgradepunt te nemen, in plaats van te vertrouwen op oudere metadata.
Snelle lessen voor AI-agent platformen
Los van Paperclip is de boodschap breder toepasbaar: zodra een AI-agentplatform configuraties kan importeren die later als commando’s worden uitgevoerd, moet je die configuratie behandelen als een aanvalsvector. Met andere woorden: permissioning en validatie moeten “op de juiste grens” plaatsvinden.
- Beperk imports: zorg dat alleen de juiste rollen agentconfiguraties kunnen introduceren.
- Voer toegangschecks consistent uit op elke route die data of acties teruggeeft.
- Verminder trust-by-location: behandel “localhost trust” kritisch, zeker met DNS-achtige omwegen.
- Segmenteren helpt: houd agentruntime zo beperkt mogelijk in toegang tot secrets en interne diensten.
Als je AI-agent beveiliging in de praktijk wil aanscherpen, kan ook interessant zijn hoe governance en runtime-afspraken het risico beïnvloeden. Op onze site vind je bijvoorbeeld een artikel over het onderwerp governance bij AI-agenten: AI-agent governance en het waarom van regels.
Conclusie
De Paperclip AI kwetsbaarheden laten zien hoe snel “agentconfiguratie” kan verschuiven naar “host-uitvoer”. Twee hoofdissues (CVE-2026-41679 en GHSA-x8hx-rhr2-9rf7) richten zich op het laten uitvoeren van hostcommando’s via een kwaadaardige agent-import, afhankelijk van respectievelijk server-side registratie/importblootstelling en een local_trusted DNS-rebinding scenario.
Daarnaast tonen GHSA-xfqj-r5qw-8g4j en gerelateerde routeproblemen aan dat ook API-toegangschecks cruciaal zijn: een route die een stap overslaat kan genoeg zijn voor gerichte datadisclosure. De hoofdactie voor beheerders is helder: upgrade naar v2026.416.0 of later en review hoe registratie, import en deployment exposure zijn ingericht.
Bron: https://thehackernews.com/2026/08/paperclip-ai-flaws-let-attackers-run.html
