Paperclip is een AI-managementplatform waarmee organisaties autonome AI-agenten op schaal kunnen inzetten. Juist daarom is de Paperclip kwetsbaarheid uit CVE-2026-41679 zo relevant: onderzoekers constateerden dat een aanvaller via een reeks stappen uiteindelijk code kon laten uitvoeren met de rechten van de Paperclip-server.
In dit artikel zetten we uiteen hoe de aanval mogelijk was, welke impact dat kon hebben en welke praktische maatregelen je kunt nemen om je omgeving veilig te houden.
Wat is de Paperclip kwetsbaarheid precies?
De beveiligingsfout is geregistreerd als CVE-2026-41679 met een CVSS-score van 10. Volgens de rapportage raakte de issue vooral Paperclip-instanties die netwerktoegang hadden en gebruikmaakten van een standaard geauthenticeerde configuratie (“default authenticated-mode”).
De kern van het probleem was een autorisatie-bypass. Met andere woorden: een controle die normaal gesproken moet voorkomen dat niet-geautoriseerde acties worden uitgevoerd, ontbrak (of werkte niet goed) in een cruciale stap van het proces.
Hoe kon een aanvaller toegang krijgen tot de CLI-autoristatiestroom?
De aanval startte niet met een brute force of een complexe keten van kwetsbaarheden, maar met het omzeilen van autorisatie. Een aanvaller kon zich in principe zelf registreren zonder dat e-mailverificatie nodig was, inloggen op de account en vervolgens een CLI challenge maken.
Daarna kon de aanvaller die challenge goedkeuren, waarna Paperclip een CLI-autorisatiestap doorliep die bedoeld is om een command-line client te autoriseren en een permanente board API-credential te activeren.
Belangrijk detail: de onderzoekers beschrijven dat een sessie op zichzelf al genoeg was om in de CLI-authorization flow te komen, zonder dat er een uitnodiging nodig was of controle van een geverifieerde mailbox.
Van CLI-autorisatie naar board-level API toegang
Door de CLI challenge zichzelf te laten goedkeuren, kreeg de aanvaller een token dat gekoppeld was aan de eigen account. Daarmee verkreeg de aanvaller board-level API access.
Die board-level toegang bleek vervolgens toegang te bieden tot routes die te maken hebben met het importeren van een nieuwe company binnen Paperclip. Dat is precies het punt waarop het verschil tussen “direct company aanmaken” en “company importeren” het risico verhoogde.
De rapportage geeft aan dat Paperclip direct creëren van een nieuwe company wel correct beperkte tot een instance administrator. Maar de import-route gebruikte naar verhouding minder strikte rechten: die vereiste geen instance-admin privileges.
Code-executie via een gemanipuleerde .paperclip.yaml
De volgende stap was dat de aanvaller bij het importeren van een company een speciaal geprepareerd configuratiebestand kon aanleveren: een .paperclip.yaml.
Met die YAML kon de aanvaller een agent definiëren die gebruikmaakt van een host-level execution adapter. Vervolgens kon de YAML ook een command bevatten dat via die adapter werd uitgevoerd als de Paperclip-server proces.
Als de exploit slaagde, kreeg de aanvaller de machtigingen van de service account waaronder Paperclip draait. Afhankelijk van je deployment kon dat betekenen dat een aanvaller onder andere kon beschikken over:
- toegang tot applicatiedata
- toegang tot bronrepositories
- lokale credentials en geheimen die door agent-processen kunnen worden bereikt
- toegang tot interne services die bereikbaar zijn vanaf de host
Hoe heeft Paperclip de kwetsbaarheid opgelost?
De fix bestond uit meerdere maatregelen in de autorisatieketen. Volgens het rapport heeft Paperclip autorisatiechecks toegevoegd aan zowel de import preview als de import execution-stappen.
Daarnaast is de scope van company-import verder aangescherpt. Het doel hiervan is om te voorkomen dat board-level toegang leidt tot rechten die normaal alleen voor instance administrators gelden.
Niet alleen CVE-2026-41679: twee extra bevindingen
Het onderzoek ging verder dan één fout. De rapportage noemt ook twee andere problemen die door dezelfde bron aan het licht waren gekomen en door Paperclip zijn aangepakt.
Ontbrekende autorisatie op API-routes
De eerste extra issue betrof een ontbrekende autorisatie op bepaalde API-routes, met als gevolg dat gevoelige data kon worden uitgelezen. Dat type fout is gevaarlijk omdat het niet altijd leidt tot directe code-executie, maar wel tot verlies van vertrouwelijke informatie.
DNS-rebinding in local-development mode
De tweede bevinding had te maken met DNS rebinding op loopback. In local-development mode zou Paperclip binden aan 127.0.0.1 en verzoeken die via dat adres binnenkomen vertrouwden als afkomstig van “vertrouwde software”.
Het risico: als een ontwikkelaar een aanvallerswebsite in de browser opent, kan JavaScript op die website dezelfde origin-beperkingen omzeilen. Daardoor kan de aanvaller toegang krijgen tot de lokale Paperclip API.
Via een importbewerking kon een aanvaller vervolgens Paperclip aanzetten tot het uitvoeren van een command op de computer van de ontwikkelaar.
Waarom dit zwaarder weegt bij AI-agenten
Dit soort incidenten past in een bredere verschuiving: AI-agenten worden steeds vaker gezien als een nieuwe klasse “enterprise identiteit”. Dat betekent dat een agentic workflow verspreid is over meerdere stappen en mogelijk meerdere credentials gebruikt.
De onderzoekers wijzen erop dat logboeken vaak alleen de laatste credential registreren: wat je dus ziet is niet altijd de originele gebruiker, niet welke agent de opdracht startte, en ook niet welk beoogd doel de eerste stap had. Voor forensics en incidentrespons maakt dat de analyse lastiger.
Daar komt bij dat een aanval niet alleen “één systeem” aantast. Een autorisatieprobleem kan juist leiden tot het inzetten van agents die tools aanroepen, importprocessen manipuleren en vervolgens rechten misbruiken op de host.
Praktische maatregelen voor teams die Paperclip gebruiken
Als je Paperclip inzet, zijn de onderstaande stappen logisch om risico te verlagen. Welke prioriteit je geeft, hangt af van je huidige configuratie en of je instance intern of extern bereikbaar is.
- Update Paperclip zodra er een beveiligingsfix beschikbaar is. De beschreven problemen vereisen autorisatie-aanscherpingen in import en API-routes.
- Controleer je import- en autorisatiepaden: zorg dat acties rondom company import echt dezelfde administratieve voorwaarden volgen als de “directe” beheeracties.
- Beperk netwerktoegang tot alleen noodzakelijke omgevingen. De impact in de bronrapportage richt zich vooral op netwerktoegankelijke instanties met een standaard geauthenticeerde setup.
- Let extra op local-development mode: gebruik geen onnodige blootstelling van lokale API’s, zeker niet in scenario’s waar browsershots of niet-vertrouwde content aan ontwikkelaars worden aangeboden.
- Verlaag de rechten van de service account waarmee Paperclip draait. Als een aanval je hostrechten toch weet te grijpen, bepaalt het privilege-niveau hoeveel er mogelijk is.
Bekijk ook gerelateerde securitylessen uit andere AI-incidenten
Security is zelden één losse kwetsbaarheid. Het loont om patronen te herkennen die vaker terugkomen in AI- en agentomgevingen, zoals autorisatieketens en misbruik van processen.
Lees bijvoorbeeld hoe AI-agenten gaan rogue: ook daar draait het om het afwijken van de verwachte controlemechanismen en het risico dat stappen pas laat zichtbaar worden.
Daarnaast is het nuttig om te zien hoe patches en configuraties van invloed zijn op echte exploitbaarheid, zoals in het bericht over passkey-hijack door malware, waar het misbruik van authenticatiecontext centraal staat.
Conclusie
De Paperclip kwetsbaarheid (CVE-2026-41679) laat zien hoe een ontbrekende autorisatiecheck kan escaleren van accountactiviteiten naar board-level API toegang en uiteindelijk code execution met de rechten van de Paperclip-server. Bovendien bevestigt het onderzoek dat extra issues—zoals ontbrekende autorisatie op API-routes en DNS-rebinding in local-development mode—de totale risico-opbouw verder konden vergroten.
Door Paperclip te updaten, je autorisatieflows te controleren en je omgeving restrictiever in te richten, verklein je de kans dat een aanvaller via agent-import en CLI-autoristatie jouw organisatie in één keten compromitteert.
Bron: https://www.securityweek.com/critical-paperclip-flaw-allowed-admin-access-code-execution/
