Auf den Punkt: Drei nun gepatchte Paperclip-Schwachstellen (u.a. CVE-2026-41679, CVSS bis 9.6) zeigten, dass die Plattform Localhost-Zugriffe und Board-Level-Rechte fälschlich als vertrauenswürdig behandelte und so RCE-Ketten sowie mandantenübergreifenden Datenabfluss ermöglichte.
Sicherheitsforscher von Oasis Security haben drei Schwachstellen in der Open-Source-Plattform Paperclip für KI-Agenten offengelegt, die sich zu Remote Code Execution, Datenabfluss und Kompromittierung von Entwicklerrechnern verketten lassen. Alle drei Lücken beruhen auf derselben fehlerhaften Vertrauensannahme im Umgang mit Identitätsgrenzen.
Oasis Security hat der Redaktion von CSOonline vor der Veröffentlichung am Mittwoch Details zu drei Schwachstellen in unterschiedlichen Paperclip-Deployment-Modi zur Verfügung gestellt. Die schwerwiegendste Lücke, CVE-2026-41679 mit Maximal-Schweregrad, betrifft authentifizierte Deployments mit Standard-Registrierungseinstellungen. Ein Angreifer kann sich als unauthentifizierter Nutzer selbst registrieren, eine eigene CLI-Autorisierungsanfrage genehmigen und dadurch persistenten Board-Level-API-Zugriff erlangen, ohne dass eine separate administrative Freigabe erforderlich wäre. Diese Berechtigungen reichen aus, um eine weitere Autorisierungslücke im Company-Import-Workflow auszunutzen: Während das direkte Anlegen einer neuen Company Instance-Administrator-Rechte erfordert, genügten für den Import bislang Board-Level-Berechtigungen. Da importierte Company-Bundles ausführbare Agent-Definitionen enthalten können, ließ sich eine manipulierte „.paperclip.yaml“-Datei mit einem prozessbasierten Agenten hochladen, der beliebige Betriebssystembefehle mit den Rechten des Paperclip-Servers ausführt.
Eine zweite Schwachstellenklasse betrifft mehrere API-Endpunkte, die entweder keine Authentifizierung erforderten oder keine Mandanten-Autorisierung durchsetzten. Dadurch waren Workflow-Informationen, Skill-Dokumentation und Deployment-Metadaten offen zugänglich, was Angreifern Aufklärung oder mandantenübergreifenden Informationsabfluss ermöglichte. Die dritte Lücke (CVSS 9.6) betrifft den Standard-Deployment-Modus „local_trusted“, bei dem die Plattform davon ausgeht, dass Anfragen an Localhost von vertrauenswürdiger Software stammen. Oasis demonstrierte, dass ein DNS-Rebinding-Angriff diese Annahme aushebeln kann: Eine vom Angreifer kontrollierte Webseite kommuniziert mit dem lokalen Paperclip-Dienst und führt nach Import und Auslösen eines manipulierten Agenten letztlich Befehle auf dem Entwicklerrechner aus – ein sogenannter Drive-by-RCE-Angriff.
Darren Guccione, CEO und Mitgründer von Keeper Security, der die Oasis-Forschung ebenfalls geprüft hat, ordnet den Befund ein: Ein Angreifer, der Kontrolle über eine Agent-Konfiguration erlangt, erhalte nicht nur Zugriff auf Daten, sondern die Fähigkeit, privilegierte Aktionen über jedes System auszuführen, das dieser Agent erreichen kann. Für Sicherheitsverantwortliche bedeutet das: KI-Agenten-Konfigurationen sind als ausführbarer Input zu behandeln, nicht als bloße Daten – eine Einordnung, die auch Oasis explizit hervorhebt.
Alle drei Schwachstellen sind inzwischen behoben. Paperclip schloss die RCE-Kette und die offenen API-Endpunkte in Version 2026.416.0, indem Company-Importe nun Administrator-Rechte erfordern, Autorisierungsprüfungen bei verwandten Operationen verschärft und Regressionstests ergänzt wurden. Die DNS-Rebinding-Lücke wurde in Version 0.3.1 durch Hostname-Validierung, gehärtete Imports und eingeschränkte, risikoreiche Adapter bei Agent-sicheren Importen adressiert. Paperclip reagierte nach Angaben von CSOonline nicht auf Anfragen zur Stellungnahme.
Quelle: www.csoonline.com · Erschienen 5. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.