Paperclip beschreibt sich als Plattform zur Verwaltung von KI-Systemen, mit der Unternehmen autonome KI-Agenten im großen Maßstab betreiben können. Die Software unterstützt den Import von Unternehmen aus portablen Bundles und YAML-Dateien, in denen auch Agenten und deren auszuführende Befehle definiert sind. Genau an diesem Mechanismus setzte die von Oasis Security gemeldete Schwachstelle an.
Laut Oasis Security fehlte an einer entscheidenden Stelle eine Autorisierungsprüfung. Ein Angreifer konnte demnach ohne Einladung und ohne Kontrolle über ein verifiziertes Postfach ein Konto selbst anlegen und sich sofort anmelden. Diese Sitzung reichte nach Angaben der Forscher aus, um den CLI-Autorisierungsablauf von Paperclip zu durchlaufen, also den Prüf- und Freigabeprozess, mit dem ein Kommandozeilen-Client autorisiert und ein dauerhaftes Board-API-Zugangstoken aktiviert wird.
Durch die Selbstfreigabe dieser CLI-Autorisierungsanfrage erhielt der Angreifer ein an sein Konto gebundenes Board-API-Token. Das verschaffte ihm Board-Level-API-Zugriff, einschließlich der Möglichkeit, die Importpfade für Unternehmen zu erreichen. Oasis Security betont, dass Paperclip zwar die direkte Anlage eines neuen Unternehmens korrekt auf Instanzadministratoren beschränkte, der funktional gleichwertige Importpfad für neue Unternehmen aber lediglich Board-Level-Zugriff verlangte und keine Instanzadministratorrechte voraussetzte.
Beim Import konnte dann eine speziell präparierte .paperclip.yaml verwendet werden. Darüber ließ sich ein Agent festlegen, der einen Ausführungsadapter auf Host-Ebene nutzt, sowie ein Befehl definieren, den dieser Adapter als Prozess des Paperclip-Servers ausführt. Eine erfolgreiche Ausnutzung liefere die Rechte des Dienstkontos, unter dem Paperclip ausgeführt wird, schreibt Oasis Security. Je nach Bereitstellung könne das den Zugriff auf Anwendungsdaten, Quellcode-Repositories, lokale Zugangsdaten, Geheimnisse für Agentenprozesse sowie auf vom Host erreichbare interne Dienste einschließen.
Paperclip hat den Fehler behoben, indem Autorisierungsprüfungen für die Abläufe zur Importvorschau und zur eigentlichen Ausführung des Imports ergänzt wurden. Außerdem wurde die Abgrenzung von Unternehmensbereichen verschärft.
Zusätzlich hat das Unternehmen zwei weitere von Oasis Security entdeckte Fehler korrigiert. Einer betraf erneut fehlende Autorisierung auf API-Routen und führte zur Offenlegung sensibler Daten. Der andere war eine Schwäche durch DNS-Rebinding auf der Loopback-Schnittstelle, über die sich auf Entwicklerrechnern beliebiger Code ausführen ließ.
Diese zweite Schwachstelle bestand laut Bericht im lokalen Entwicklungsmodus. In diesem Modus band sich Paperclip an 127.0.0.1 und vertraute allen Anfragen an diese Adresse, als kämen sie von vertrauenswürdiger Software. Wenn ein Entwickler im Browser eine von Angreifern kontrollierte Website öffnete, konnte darauf eingebetteter JavaScript-Code die Same-Origin-Schutzmechanismen umgehen und so auf die lokale Paperclip-API zugreifen. Über einen Importvorgang ließ sich Paperclip dann dazu bringen, einen Befehl auf dem Rechner des Entwicklers auszuführen.
Oasis Security ordnet den Fall auch in einen größeren Kontext ein: KI-Agenten entwickelten sich zu einer neuen Klasse von Unternehmensidentitäten. In agentischen Arbeitsabläufen delegierten Nutzer Aufgaben an Agenten, diese riefen weitere Agenten oder Werkzeuge auf, und in jedem Schritt könne ein neuer Berechtigungsnachweis gewählt werden. Am Ende zeigten Protokolle dann womöglich nur noch den zuletzt verwendeten Berechtigungsnachweis, nicht aber den ursprünglichen Nutzer, den verantwortlichen Agenten oder die beabsichtigte Aufgabe.