Se han revelado vulnerabilidades críticas en Paperclip, una plataforma de orquestación de agentes de IA. La falla más grave, identificada como CVE-2026-41679 con una puntuación CVSS de 10.0, podría permitir que los atacantes obtengan acceso administrativo y ejecuten comandos en los servidores afectados que utilicen la configuración autenticada por defecto.

Se han revelado vulnerabilidades críticas en Paperclip, una plataforma de orquestación de agentes de IA, que podrían permitir a los atacantes obtener acceso administrativo y ejecutar comandos en los servidores afectados.

El fallo más grave, rastreado como CVE-2026-41679, tiene una puntuación CVSS de 10.0 y afecta a los despliegues de Paperclip accesibles por red que utilizan la configuración autenticada por defecto.

Paperclip ayuda a las organizaciones a operar agentes de IA autónomos a través de empresas, tareas, adaptadores y flujos de trabajo configurables. Una característica clave permite a los usuarios importar paquetes de empresas que contienen archivos .paperclip.yaml.

Estos archivos pueden definir agentes, sus adaptadores de ejecución y los comandos que ejecutan. Esto convierte una importación de configuración aparentemente simple en una ruta de ejecución de alto riesgo.

La vulnerabilidad crítica se originó por un descuadre en la autorización. Paperclip requería permisos de administrador de instancia para crear una empresa directamente.

Sin embargo, su ruta de importación permitía que un usuario con un acceso inferior a nivel de junta importara una nueva empresa. Un atacante podría explotar esta diferencia para crear una empresa que contenga una configuración de agente maliciosa.

Vulnerabilidades de Paperclip

La cadena de ataque comenzaba con el registro abierto. Un atacante remoto podía registrar una cuenta sin verificación de correo electrónico, iniciar sesión, crear un desafío de autorización de CLI y aprobar dicho desafío utilizando la misma cuenta.

Este proceso activaba un token de API de junta persistente, otorgando efectivamente al atacante un acceso elevado a la API sin un paso de aprobación independiente. Usando este token, el atacante podía acceder a la ruta de importación de empresas y subir un paquete manipulado.

El archivo .paperclip.yaml malicioso podría configurar un agente para usar el adaptador de procesos integrado de Paperclip, el cual lanza comandos como procesos secundarios en el servidor anfitrión.

Después de importar la empresa, el atacante podría despertar al agente, provocando que Paperclip ejecute el comando elegido. Según el informe de Oasis, una explotación exitosa otorgaría al atacante los permisos de la cuenta del sistema operativo que ejecuta Paperclip.

Dependiendo del despliegue, esto podría exponer datos de la aplicación, repositorios de código fuente, credenciales locales, secretos disponibles para los procesos del agente y servicios internos accesibles desde el anfitrión.

Dos fallos adicionales ampliaron el riesgo. El primero involucraba puntos finales de API que no aplicaban consistentemente la autenticación o la autorización a nivel de empresa.

Estos exponían datos de problemas de latido (heartbeat), documentación de habilidades del agente e información de salud que podría revelar detalles del despliegue, indicadores de funciones, preparación de autenticación y la versión instalada.

El segundo problema crítico afectaba al modo local_trusted de Paperclip. En este modo, el servicio se vincula a 127.0.0.1 y asume que las solicitudes entrantes provienen de software local de confianza.

Los investigadores descubrieron que un ataque de DNS rebinding podría romper esta suposición. Un sitio web controlado por un atacante podría usar solicitudes basadas en el navegador para llegar a la API local de Paperclip y hacer que sean tratadas como acciones de administrador.

El atacante podría entonces importar y activar un agente malicioso, resultando en la ejecución de comandos en la máquina del desarrollador.

Paperclip solucionó los fallos requiriendo una autorización más fuerte para las importaciones de nuevas empresas, reforzando los controles de alcance de la empresa, protegiendo las rutas de API previamente expuestas y añadiendo la validación del nombre de host en despliegues de confianza local.

Debes actualizar inmediatamente, restringir el registro público donde no sea necesario, revisar las configuraciones de agentes importados y tratar los adaptadores de agentes y los campos de comandos como código ejecutable privilegiado.

Fuentes:
https://cybersecuritynews.com/paperclip-vulnerabilities/