這篇文章要探討的是一個名為 Paperclip 的開源 AI Agent 控制平面（Control Plane）所出現的嚴重安全漏洞。對於初入行的工程師來說，最重要的一點是理解：在 AI Agent 的世界中，配置（Configuration）往往就等於執行邏輯（Executable Behavior）。
當一個系統允許使用者透過設定檔來定義 Agent 該如何運作時，如果缺乏嚴格的權限檢查，這些設定檔就可能變成攻擊者用來控制伺服器的遠端指令。
漏洞核心：配置即執行
Paperclip 提供了一個 Process Adapter（程序適配器），其設計初衷是讓開發者可以配置某個指令，讓 AI Agent 在需要時將該指令作為子程序（Child Process）在伺服器上執行。這在功能上是合理的，但在安全性上極其危險。
如果攻擊者能將惡意的指令寫入 Agent 的配置中，並成功讓伺服器載入並執行這個 Agent，那麼攻擊者就取得了遠端代碼執行（RCE, Remote Code Execution）的能力，可以直接操控伺服器或開發者的電腦。
路徑一：權限提升與非法導入（CVE-2026-41679）
這個漏洞發生在開啟了身分驗證模式的網路部署環境中。其攻擊鏈條如下：
首先，攻擊者利用預設開啟的註冊功能，無需邀請或驗證信箱即可建立帳號。 接著，利用權限漏洞，攻擊者可以自行建立並核准 CLI（命令列介面）的挑戰請求，從而獲取一個具有 Board 級別權限的 API 憑證。 最關鍵的漏洞在於，Paperclip 在處理新公司導入（Import）時，錯誤地允許了僅具備 Board 權限的使用者執行原本需要管理員（Instance-Administrator）權限的操作。
攻擊者只要上傳一個惡意的 .paperclip.yaml 檔案，定義一家新公司以及一個使用 Process Adapter 的 Agent，伺服器就會在執行該 Agent 時，以伺服器程序的權限執行攻擊者定義的指令。這導致攻擊者可以竊取原始碼、憑證或存取內部網路。
路徑二：DNS 重綁定攻擊（DNS Rebinding）
這個漏洞針對的是在本地開發環境（local_trusted 模式）下運行的使用者。
在 local_trusted 模式下，Paperclip 為了方便開發，會信任所有來自 127.0.0.1（本地回環地址）的請求，將其視為管理員。攻擊者利用 DNS Rebinding 技術，讓一個惡意域名在短時間內交替解析到攻擊者的伺服器與本地的 127.0.0.1。
當開發者瀏覽惡意網頁時，瀏覽器會先從攻擊者伺服器載入 JavaScript，隨後該腳本發出的請求會被導向本地的 Paperclip 服務。由於瀏覽器認為這仍是同一個來源（Same-Origin），且 Paperclip 信任本地請求，攻擊者就能在不需要任何 Token 或密碼的情況下，直接調用導入 API 並執行惡意指令。
路徑三：API 路由缺乏訪問控制（GHSA-xfqj-r5qw-8g4j）
除了上述兩個致命漏洞，Paperclip 還有部分 API 路由沒有落實正確的權限檢查。
例如，只要攻擊者能猜到或獲取一個有效的 heartbeat-run 識別碼，就能在未經授權的情況下讀取相關的議題數據。此外，部分路由會洩漏系統的版本、部署模式、功能標記（Feature Flags）等敏感資訊，這些資訊通常會被攻擊者用來進行偵查，以便發動更精準的攻擊。
工程實務的反思與對策
這次事件給所有開發 AI 框架或 Agent 系統的工程師三個重要啟示：
第一，永遠不要信任配置。任何允許使用者定義行為的設定檔（如 YAML, JSON），在進入執行階段前，必須被視為不可信的輸入（Untrusted Input），且必須經過嚴格的白名單過濾或權限校驗。
第二，不要將網路位置等同於身分。僅僅因為請求來自 localhost 就不進行驗證，在現代瀏覽器環境中是非常危險的，DNS Rebinding 正是利用這一點來突破安全防線。
第三，實行最小權限原則。API 的權限檢查應該是強制性的（Enforced by default），而不是依賴於每個路由開發者記得去寫檢查邏輯。
目前 Paperclip 已在 v2026.416.0 版本中修復了上述問題，包括增加了主機名驗證（Hostname Validation）以及對導入操作實施嚴格的管理員權限檢查。建議所有使用者立即更新。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。