AI管理ツール「Paperclip」に深刻な脆弱性、悪意あるエージェントのインポートによりホスト上で任意コマンドを実行される恐れ

要点

• AI（人工知能）エージェントのチームを統合管理するプラットフォーム「Paperclip」に、ホスト側でのコマンド実行などを許す複数の深刻な脆弱性が確認された。
• サーバー側の欠陥「CVE-2026-41679」は脆弱性の深刻度を示すCVSSスコアで最高値の10.0を記録しており、認証やユーザー操作なしで悪用される可能性がある。
• ローカル環境向けの「GHSA-x8hx-rhr2-9rf7」では、開発者が悪意あるWebサイトをブラウザで開くだけでローカルホストが操作される恐れがある。
• 攻撃手順を自動化する検証モジュールがすでに一般公開されているが、現時点で実際の悪用被害は報告されていない。
• 開発元は権限検証の強化や接続元の確認機能を追加した修正版「v2026.416.0」をリリースしており、ユーザーに注意を促している。

リード文

AIエージェントの統合管理を行うオープンソースソフトウェア「Paperclip」において、重大なセキュリティ上の欠陥が複数存在することが明らかになった。これはセキュリティ企業のOasis Securityが公開した調査報告書などによって判明したもので、悪意ある設定ファイルを読み込ませることで、稼働中のサーバーや開発者のコンピューター上で任意のコマンドを実行される危険性があるという。2026年8月5日の発表時点で実際の被害報告はないものの、攻撃を自動化するモジュールがすでに公開されているため、利用者は迅速な対応が必要とされる。

本文

脆弱性の概要と根本的な原因

Paperclipには、合計3つの脆弱性の存在が確認された。このうち2つは、悪意あるエージェントをインポート・起動することで、サーバーや開発用PCのホスト上で任意のコマンドを実行可能にするものだ。残る1つは、API（外部からプログラムの機能を利用するための窓口）のアクセス制限不備により、機密データや管理システム（コントロールプレーン）の詳細情報が漏洩する危険がある。

Oasis Securityの報告書によれば、原因は「エージェント設定がそのまま実行動作になる」というPaperclipの仕様にある。Paperclipにはコマンドをサーバーの子プロセスとして起動する「プロセスアダプター」機能が備わっており、本来は正当な仕様だが、今回はアクセス制御の甘さが突かれた形だ。悪意ある設定情報がこの機能に到達してしまうことで、不正なコマンド実行が成立する。

サーバー環境を標的とする「CVE-2026-41679」

サーバー向けの「CVE-2026-41679」は、脆弱性の深刻度を示すCVSSスコアで最高値の10.0と評価されている。ネットワーク経由でアクセス可能かつデフォルト設定で新規ユーザー登録が許可された環境では、攻撃者はアカウントやユーザー操作なしで悪用できる。

攻撃はデフォルトの「招待不要の新規登録」から始まる。攻撃者はアカウントを作成してログイン後、コマンドラインインターフェース（CLI）の承認申請を行う。この際、保留中の申請を自ら承認できる不備を突くことで、長期間有効なアクセス資格（ボードAPIクレデンシャル）を不正取得する。

最上位組織の作成には本来システム管理者権限が必要だが、インポート用APIルートがこの一般ユーザー向け権限を受け入れてしまっていた。そのため、攻撃者は実行コマンドを記述した設定ファイルをインポートして自身をメンバーに追加し、サーバーのOS権限でコマンドを実行させることができる。

これにより、アプリケーションデータやソースコード、保存された認証情報、内部ネットワーク上のサービスなどが奪取される危険性がある。

ローカル開発環境を脅かす「GHSA-x8hx-rhr2-9rf7」

ローカル環境を標的とする「GHSA-x8hx-rhr2-9rf7」（CVSS 9.6）は、Paperclipのデフォルトの動作モードに関係する。本ツールは開発時の利便性のため、ループバックインターフェース（コンピュータ自身と通信するための仮想的なネットワーク接続）からのリクエストを無条件で管理者として信頼する設定になっていた。

このため、開発者がツールを起動した状態で悪意あるWebサイトをブラウザで開くと、ブラウザからのリクエストやDNSリバインディング（ブラウザのセキュリティ制限を迂回してローカルネットワークを攻撃する手法）を通じてホスト上でコマンドが実行される恐れがある。

修正状況と現在のリスク

開発元はこれらの問題に対処するため、対策を施した「v2026.416.0」をリリースした。新バージョンでは組織インポート時の権限検証が強化され、プレビューおよび実行時にアクセス権が厳格にチェックされる。

なお、セキュリティ企業のRapid7は、6回のリクエストでこのサーバー攻撃を自動実行するMetasploit（脆弱性の検証用ツール）モジュールを公開している。米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の評価でも、自動化が容易なPoC（概念実証）段階の脆弱性として分類されている。

現時点で野生での悪用は報告されていないが、管理者は登録設定やデプロイ構成を見直し、早急に修正版へアップデートすることが推奨される。