Duas falhas de segurança no Paperclip poderiam permitir que invasores executassem comandos em um servidor de rede ou no computador de um desenvolvedor. O Paperclip é um plano de controle de código aberto para equipes de agentes de inteligência artificial (IA), e ambos os caminhos exploráveis dependem da importação de um agente malicioso e de sua inicialização.
Uma terceira falha poderia expor dados sensíveis e detalhes do plano de controle por meio de rotas de interface de programação de aplicações (API) que não aplicavam as verificações de acesso esperadas.
O caminho mais severo, no lado do servidor, identificado como CVE-2026-41679 (Vulnerabilidades e Exposições Comuns; pontuação CVSS — Sistema de Pontuação de Vulnerabilidades Comuns: 10,0), não exige conta pré-existente nem interação da vítima em implantações acessíveis pela rede que utilizem o modo autenticado com a configuração padrão de registro.
O segundo caminho, identificado como GHSA-x8hx-rhr2-9rf7 (pontuação CVSS: 9,6), exige que um usuário abra uma página controlada pelo invasor enquanto o Paperclip estiver em execução em seu modo padrão local_trusted.
A versão rotulada como Paperclip v2026.416.0 contém a correção de autorização de importação e a validação de hostname discutidas a seguir, embora o aviso de rebinding de DNS (Sistema de Nomes de Domínio) não identifique uma versão corrigida. A Rapid7 desde então disponibilizou um módulo público do Metasploit para a CVE-2026-41679, e o enriquecimento da SSVC (Categorização de Vulnerabilidades Específicas para Partes Interessadas) da CISA (Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos), carregado pelo NVD (Banco de Dados Nacional de Vulnerabilidades dos Estados Unidos), classifica a exploração como prova de conceito (proof of concept).
Nenhuma fonte autoritativa revisada pelo The Hacker News relatou exploração em ambiente real até 5 de agosto de 2026. Operadores devem atualizar para a v2026.416.0 ou posterior e revisar como o registro e a exposição da implantação estão configurados.
A análise da Oasis Security, sustentada por um relatório técnico de 17 páginas, conecta as descobertas por meio de uma propriedade do produto: a configuração de um agente pode se tornar comportamento executável. O adaptador de processo integrado do Paperclip inicia intencionalmente um comando configurado como processo filho do servidor.
A funcionalidade de execução é legítima. As vulnerabilidades mudaram quem poderia alcançá-la e de qual configuração o servidor iria confiar.
"Configuração de agente deve ser tratada como entrada executável", afirmou a Oasis.
Usuários não autorizados ou requisições originadas em navegadores poderiam introduzir e ativar configurações que chegassem ao lançador.
A cadeia no lado do servidor se aplica a implantações autenticadas acessíveis pela rede que utilizem a configuração vulnerável de registro. A cadeia via localhost se aplica quando um usuário abre uma página controlada pelo invasor enquanto o Paperclip está em execução em sua configuração padrão local_trusted. Ambas terminam com a configuração controlada pelo invasor chegando ao adaptador de execução no host.
Uma chave de board aprovada pelo próprio dono
O ataque contra uma instância acessível pela internet começa com o fluxo padrão de cadastro aberto do Paperclip. Um invasor pode se registrar sem convite ou e-mail verificado, fazer login e entrar no processo de autorização da interface de linha de comando (CLI). O mesmo usuário recém-cadastrado poderia criar um desafio de CLI pendente e aprová-lo, ativando uma credencial durável de API do board (nível administrativo da plataforma) sem que um administrador separado tomasse a decisão.
Essa credencial não deveria ter sido suficiente para criar uma empresa de nível superior. O Paperclip exigia direitos de administrador da instância quando um usuário criava uma empresa diretamente, mas a rota equivalente de importação de nova empresa aceitava acesso em nível de board.
Um invasor poderia, portanto, fornecer um pacote .paperclip.yaml (arquivo de configuração no formato YAML — YAML Ain't Markup Language) definindo uma nova empresa, um agente usando o adaptador de processo e o comando que esse agente executaria.
A importação também tornava o invasor um membro da nova empresa, então a verificação normal de wakeup (ativação do agente) passava quando o invasor iniciava o agente. O Paperclip então executava o comando com os privilégios do sistema operacional do seu processo servidor.
O impacto prático depende da conta de serviço e do host. A Oasis afirmou que pode incluir dados da aplicação, repositórios de código-fonte, credenciais armazenadas localmente, segredos disponíveis para processos de agentes e serviços internos acessíveis a partir da máquina.
O Paperclip corrigiu a CVE-2026-41679 na v2026.416.0 ao exigir acesso de administrador da instância para importações direcionadas a uma nova empresa, e acesso à empresa para importações direcionadas a uma existente. A mesma verificação agora protege tanto a pré-visualização quanto a execução da importação.
O cadastro aberto permanece disponível, mas um usuário de board recém-cadastrado não pode mais tratar a rota de importação de nova empresa como uma operação de administrador da instância.
A Rapid7 publicou um módulo do Metasploit em junho de 2026 que automatiza a cadeia de ataque de seis requisições da CVE-2026-41679. O enriquecimento CISA-ADP carregado pelo NVD marca a falha como automatizável, com impacto técnico total e exploração como prova de conceito.
A vulnerabilidade não estava listada no Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA quando o The Hacker News verificou em 5 de agosto de 2026. A ausência do KEV não descarta a exploração.
O navegador atravessa para o localhost
O segundo caminho crítico tem como alvo um modelo de implantação diferente. Em sua configuração padrão local_trusted, o Paperclip se vincula à interface de loopback (endereço 127.0.0.1, que aponta para a própria máquina) e historicamente tratava toda requisição que chegasse ao serviço como um administrador implícito da instância. Isso removia o atrito de autenticação para desenvolvimento local, mas também tratava a localização de rede como identidade.
A Oasis demonstrou um ataque de rebinding de DNS no qual um hostname controlado pelo invasor resolvia tanto para o servidor do invasor quanto para 127.0.0.1. O navegador primeiro carregou JavaScript do servidor do invasor. Depois que esse servidor parou de responder, requisições posteriores ao mesmo hostname chegaram ao serviço Paperclip local.
O navegador ainda considerava as requisições como mesma origem (mesma origem, no modelo de segurança do navegador, significa mesmo esquema, host e porta), e o Paperclip aceitava o hostname do invasor no cabeçalho Host. A página poderia então chamar a API de importação do Paperclip, instalar uma empresa contendo um agente baseado em processo e invocar seu endpoint de wakeup.
Como o modo local atribuía autoridade de administrador às requisições redirecionadas, o servidor executou o comando do invasor com os privilégios do desenvolvedor. Nenhum token do Paperclip, cookie de sessão ou credencial roubada foi necessário. A prova de conceito documentada foi verificada no macOS com Firefox, então o registro público não estabelece o mesmo resultado de ponta a ponta em todos os navegadores e sistemas operacionais.
A correção direta foi a validação de hostname. A fonte do Paperclip rotulada como v2026.416.0 ativa a proteção de hostname privado para implantações privadas em execução tanto em modo local_trusted quanto autenticado. A proteção é executada antes do middleware (camada de software intermediária que processa requisições) que atribui uma identidade à requisição, fazendo com que uma requisição redirecionada carregando um hostname não aprovado seja rejeitada antes de chegar à API.
Rotas deixadas sem suas proteções
O terceiro aviso, GHSA-xfqj-r5qw-8g4j (pontuação CVSS: 8,3), cobre diversas rotas de API no modo autenticado que não rejeitavam consistentemente requisições não autenticadas ou entre empresas.
Um chamador com um identificador válido de execução de heartbeat (sinal periódico de verificação de atividade) poderia recuperar os dados de issue (chamado ou tarefa) associados sem comprovar acesso à empresa. Esse era um caminho de divulgação direcionado, não enumeração irrestrita, porque o chamador ainda precisava obter ou descobrir um identificador de execução válido.
Outras rotas expostas retornavam a documentação de skills (capacidades documentadas de um agente) voltada para agentes do Paperclip, incluindo caminhos de API e convenções de autenticação, ou divulgavam informações de saúde, como modo de implantação, versão, prontidão de autenticação, estado de bootstrap (inicialização do sistema), exposição e flags de funcionalidade. A rota de desafio de CLI não autenticada também fazia parte da cadeia de geração de credenciais usada pela CVE-2026-41679.
O projeto subjacente permitia que uma requisição não autenticada continuasse pelo middleware com uma identidade "sem ator", deixando cada rota lembrar sua própria asserção. O Paperclip adicionou autenticação a rotas gerais de skills, verificações de acesso de empresa à recuperação de issues de heartbeat, rotas de onboarding (integração inicial de usuários
