AI代理平臺Paperclip爆滿分資安漏洞 恐遭遠端執行任意指令

Paperclip是以Node.js伺服器與React介面打造的開源AI代理編排平臺，可讓企業建立、分派及管理多個代理。由於代理能接觸檔案、憑證與主機指令，存取控制一旦失守，風險可能從單一帳號迅速擴大至整臺伺服器及其他租戶。

RAXE Labs於4月19日彙整11項經GitHub審核的安全公告，其中4項CVSS達9.8至10分。最嚴重的CVE-2026-41679可讓未驗證攻擊者透過6次API呼叫完成註冊、自行核准權杖並匯入惡意代理，進而遠端執行指令；Paperclip已在2026.416.0版修補，用戶應同步升級4個相關套件。