Paperclip AI diventa testabile in pochi click con Metasploit
La differenza non è solo una nuova CVE: con un modulo pubblico in Metasploit, Paperclip AI entra subito in un flusso di test e sfruttamento ripetibile. La stessa release non si ferma all’RCE iniziale: aggiunge persistenza e post-exploitation, quindi il problema operativo non è il singolo varco ma il salto rapido da accesso a controllo stabile.
Rapid7 ha pubblicato un modulo non autenticato per Paperclip AI, CVE-2026-41679, capace di ottenere codice remoto su istanze raggiungibili in rete con configurazione predefinita. Nella stessa release compaiono anche un modulo di NTLM relay-to-self per arrivare a SYSTEM sulla stessa macchina, una tecnica di persistenza per estensioni VS Code e un plugin MCP che porta assistenti AI dentro msfconsole.
Per chi espone Paperclip AI o usa strumenti AI dentro console amministrative, il punto è la velocità di weaponization: una vulnerabilità appena emersa diventa subito un percorso pronto all’uso, e il framework accompagna l’operatore oltre il primo accesso.