Prawie wszystko, co o Paperclipie napisano, powstało w marcu i kwietniu 2026 — w oknie premiery, kiedy projekt zbierał gwiazdki w tempie, którego mało kto wcześniej widział. Od tamtej pory nikt do tego nie wrócił.
A wydarzyły się co najmniej trzy rzeczy zmieniające obraz. Opublikowano komplet luk bezpieczeństwa z łańcuchem prowadzącym do wykonania kodu. Wokół projektu wyrosły cztery osobne warstwy dystrybucji gotowych konfiguracji, z czego dwie nie są kontrolowane przez projekt. A obietnica, która zrobiła mu rozgłos, nie przetrwała pierwszych poważnych testów.
Ten tekst jest stanem na 7 sierpnia 2026. Będzie aktualizowany, a miejsca niezweryfikowane są oznaczone.
Skąd się wziął i po co naprawdę powstał
Warto zacząć od rozminięcia, które tłumaczy większość późniejszych nieporozumień.
Autor, występujący pod pseudonimem @dotta, opisał swój problem prosto: prowadził równolegle dwadzieścia do trzydziestu sesji Claude Code i nie miał jak śledzić, który agent co robi, co skończył i gdzie popełnił błąd. Narzędzia do zarządzania projektami projektuje się dla ludzi, nie dla agentów. Zbudował więc system kadrowy dla AI — ze zgłoszeniami, dziennikiem audytowym, bramami akceptacji i cofaniem błędnych zmian konfiguracji.
To jest wąski, realny i sprawdzalny problem.
Rozgłos zrobiło jednak co innego — hasło „zero-human company”, firma prowadzona wyłącznie przez agentów. I to ta obietnica, a nie pierwotny problem, została w kwietniu przetestowana i odrzucona. Rozróżnienie jest kluczowe dla oceny, czy narzędzie ma dziś sens.
Liczby, stan na sierpień
Repozytorium paperclipai/paperclip ma 75 734 gwiazdki i 14 101 forków, ostatnia aktywność 6 sierpnia. TypeScript, licencja MIT.
Warto to podać, bo w obiegu krąży sześć różnych wartości: 14 tysięcy w pierwszym tygodniu, 30 i 40 tysięcy w trzy tygodnie, 42 tysiące w kwietniu, ponad 50 tysięcy „w pierwszych tygodniach”. Wszystkie były prawdziwe w swoim momencie i wszystkie są dziś nieaktualne — to dobra ilustracja tego, jak szybko starzeją się liczby w tej kategorii. Aktualny stan sprawdzisz w repozytorium w dziesięć sekund i jest to jedyne wiarygodne źródło.
Co to jest technicznie
Serwer Node.js z interfejsem w Reakcie pod localhost:3100, wbudowana baza Postgres przechowująca cały stan, licencja MIT, uruchomienie na własnej infrastrukturze. Architektura stoi na czterech filarach.
Org chart i agenci. Agent ma rolę, tytuł, przełożonego, zakres uprawnień i budżet tokenów. Agenci nie są wymienni — są specjalistami, a zadanie trafia do tego, który się do niego nadaje.
System zadań. Praca ma postać zgłoszeń powiązanych z firmą, projektem i celem nadrzędnym. Zgłoszenie pobierane jest atomowo, z blokadą wykonania, więc dwóch agentów nie zrobi tego samego dwa razy. Zależności blokujące są pełnoprawnym elementem modelu.
Heartbeat. Agent nie działa bez przerwy — budzi się cyklicznie z kolejki. Przed uruchomieniem system sprawdza budżet, przygotowuje przestrzeń roboczą, wstrzykuje sekrety i ładuje umiejętności. Przebieg zostawia ustrukturyzowany log, zdarzenie kosztowe i stan sesji do wznowienia; przebiegi osierocone są odzyskiwane automatycznie.
Workspace’y i runtime. Każdy projekt ma odizolowane środowisko, w którym agent operuje na plikach i repozytoriach.
Do tego bramy akceptacyjne wymuszające zgodę człowieka przy działaniach o dużym wpływie, cofanie błędnych zmian konfiguracji, rutyny do pracy powtarzalnej oraz kilka odizolowanych firm z jednej instalacji.
Paperclip nie dostarcza agentów. Zarządza cudzymi przez adaptery: Claude Code, Codex, Cursor, Gemini CLI, agenci CLI przez bash, OpenClaw przez bramkę HTTP. Zasada projektu brzmi: jeśli potrafi odebrać heartbeat, jest zatrudniony.
Konsekwencja architektoniczna, która ma znaczenie praktyczne: skoro każdy agent to osobny proces z własnym środowiskiem, to różni agenci w jednej organizacji mogą korzystać z różnych modeli i różnych polityk sieciowych. Heterogeniczność nie jest tu funkcją, tylko wynikiem konstrukcji.
Do zweryfikowania: hasło projektu krąży w dwóch wersjach — polskie źródło z marca cytuje wariant z Claude Code, źródła z lata wariant z OpenClawem. Możliwe, że zmieniło się w trakcie.
Oś czasu wydań
Trzy wydania wyznaczają dotychczasową historię projektu:
v2026.318.0 (marzec) — pełny system wtyczek z narzędziami CLI i przykładami, ulepszone budżetowanie ze śledzeniem kosztów subskrypcji i dostawców.
v2026.325.0 (17 marca) — standard Agent Companies i companies.sh. Autor ogłosił to jako „moment App Store dla firm agentowych”.
v2026.416.0 (kwiecień) — poprawki bezpieczeństwa zamykające obie ścieżki opisane niżej. To jest dziś minimalna wersja, na której wolno cokolwiek uruchamiać.
Ekosystem: cztery warstwy dystrybucji
To jest część najsłabiej opisana i najistotniejsza dla oceny ryzyka. Wokół Paperclipa powstały cztery niezależne kanały dystrybucji gotowych konfiguracji — dwa oficjalne i dwa poza kontrolą projektu.
1. companies.sh — oficjalny katalog firm
Instalacja kompletnej struktury organizacyjnej jedną komendą:
npx companies.sh add paperclipai/companies/gstackTo nie są szablony pojedynczych agentów, tylko całe firmy: org chart, role, zależności, umiejętności, reguły nadzoru. W katalogu stoją między innymi gstack (5 agentów, 27 umiejętności), superpowers z workflow TDD oraz aeon-intelligence (4 agentów, 32 umiejętności). Jedna z opublikowanych konfiguracji liczy 167 agentów — od Chief of Staff przez Compliance Auditora po Blender Addon Engineera.
Kluczowe: Agent Companies to otwarty standard rozszerzający skills.sh, definiujący przenośne organizacje, które można do Paperclipa importować i z niego eksportować. Samo companies.sh jest tylko opakowaniem — właściwy import wykonuje orkiestrator. Wymaga wersji co najmniej 2026.325.0.
Katalog przyjmuje zgłoszenia społeczności; istnieje nawet dedykowana umiejętność company-creator ułatwiająca przygotowanie własnej firmy do zgłoszenia.
2. Oficjalne wtyczki @paperclipai
Rozszerzenia publikowane przez sam projekt, z podanymi tygodniowymi pobraniami z npm: Plugin SDK (51 tys.), OpenClaw Gateway (34 tys.), MCP Server (18 tys.) oraz E2B Sandbox (17 tys.) do uruchamiania kodu agenta w izolowanych piaskownicach chmurowych z limitami zasobów.
3. Cliphub — rejestr społecznościowy
Uruchomiony w maju 2026 przez pojedynczego autora (@lacymorrow), pod adresem cliphub.fyi. Stan: 21 wtyczek, 16 wydawców, 182 tysiące pobrań npm tygodniowo. Najpopularniejsza wtyczka to adapter Hermesa od NousResearch (60 tys. tygodniowo), obok integracji z Telegramem, GitHubem i pamięcią wektorową.
Rejestr opisuje własną politykę wprost: jest w pełni otwarty, każda paczka npm z manifestem Paperclipa jest indeksowana nocą, bez kolejki przeglądu i bez listy oczekujących. Publikujesz na npm, tagujesz paperclip-plugin, reszta dzieje się sama.
W jednej liście stoją obok siebie paczki oficjalne i społecznościowe, rozróżnialne jedynie po nazwie wydawcy.
4. Marketplace’y komercyjne
Powstały sklepy sprzedające konfiguracje. Największy z nich, ClipMarts, oferuje 248 produktów: 163 umiejętności agentów, 40 szablonów firm, 16 konfiguracji CLAUDE.md, 15 pakietów serwerów MCP i 14 przepisów workflow. Część darmowa, część płatna, import jedną komendą.
Sklep sam deklaruje brak powiązania z Paperclipem, OpenClawem i Anthropikiem. W jego frazach kluczowych siedzi natomiast nazwa clipmart — czyli zapowiadanego oficjalnego marketplace’u projektu. Wśród szablonów są pakiety kierowane do sektorów regulowanych: obsługa kliniki z rozliczeniami i zgodnością, back office fintechowy z płatnościami i kontrolami, biuro reagowania na incydenty bezpieczeństwa.
Statusu samego Clipmartu — oficjalnego marketplace’u z roadmapy — nie udało się potwierdzić. Nie znalazłem dowodu ani na jego uruchomienie, ani na porzucenie.
Dlaczego to wymaga uwagi
Zestawmy to z tym, co wiadomo o samej platformie. Opisywaliśmy na cyberflux.pl, że w tym systemie plik opisujący agenta nie jest konfiguracją, tylko programem — może wskazać adapter procesu i podać dowolną komendę. Import konfiguracji jest wykonaniem kodu.
Wokół takiej platformy wyrosły w pięć miesięcy: katalog przyjmujący zgłoszenia, rejestr wtyczek jawnie bez przeglądu, sklep bez afiliacji z pakietami dla ochrony zdrowia i finansów, a wszystko to na standardzie rozszerzającym ten sam ekosystem umiejętności, w którym skill przeszedł skanery Cisco i NVIDIA, trafił do 26 tysięcy agentów, a potem badacze podmienili stronę, na którą wskazywał.
Nie twierdzę, że w którymkolwiek z tych źródeł jest cokolwiek złośliwego — nie mam na to żadnych przesłanek, a wszystkie wyglądają na projekty budowane w dobrej wierze. Obserwacja dotyczy kształtu, nie intencji: infrastruktura dystrybucji artefaktów wykonywalnych powstała szybciej niż jakakolwiek warstwa ich weryfikacji.
Praktyczny wniosek dla wdrażającego jest prosty. Konfigurację pobraną z dowolnego z tych źródeł traktuj jak kod z nieznanego repozytorium: przegląd przed importem, ograniczony krąg osób mogących go zatwierdzić, świadomość, że opis agenta zwykle zawiera wskazanie, co ten agent może uruchomić.
Bezpieczeństwo
W sierpniu opublikowano komplet trzech luk, z których najpoważniejsza — CVE-2026-41679 — pozwala nieuwierzytelnionemu atakującemu przejąć całą instancję. Bez konta, bez interakcji ofiary, znając wyłącznie adres. Cały łańcuch to sześć wywołań API, jest w pełni zautomatyzowany i działa przeciwko konfiguracji domyślnej.
Skrótowo: otwarta rejestracja bez weryfikacji adresu → samodzielne zatwierdzenie własnego żądania w przepływie autoryzacji CLI, dające trwałe poświadczenie na poziomie zarządu → niedopasowanie uprawnień między utworzeniem firmy a jej zaimportowaniem → pakiet importu definiujący agenta z adapterem procesu i dowolną komendą → wywołanie budzące agenta, sprawdzające wyłącznie dostęp do firmy.
Efekt: wykonanie dowolnych komend jako użytkownik systemowy, dostęp do całej bazy — konfiguracji wszystkich agentów, kluczy API i danych wszystkich najemców instancji.
Zwróć uwagę na ostatnie ogniwo. Jest nim wywołanie budzące agenta, czyli heartbeat — ten sam mechanizm, który w opisach narzędzia figuruje jako gwarancja kontroli. Hamulec zewnętrzny jest wart tyle, ile zabezpieczenie panelu, który nim steruje.
Co naprawiono: import wymaga uprawnień administratora instancji dla nowej firmy i dostępu do firmy dla istniejącej, a ta sama kontrola chroni podgląd i wykonanie. Poprawki od wersji 2026.416.0.
Czego nie usunięto. Odkrywca zwraca uwagę, że naprawa trasy importu nie zamyka drogi od stanu nieuwierzytelnionego do trwałego użytkownika na poziomie zarządu — umożliwia ją sama kombinacja otwartej rejestracji i samodzielnego zatwierdzenia. Taki użytkownik wciąż odczyta konfiguracje adapterów, zatwierdzi lub odrzuci decyzje w dowolnej firmie na instancji i anuluje przebiegi agentów każdego klienta.
Proporcje. Najpoważniejszą lukę opublikowano w kwietniu; w chwili sprawdzania nie figurowała w katalogu znanych eksploatowanych podatności i żadne autorytatywne źródło nie raportowało wykorzystania w realnych atakach. Z drugiej strony ocena poważności jest maksymalna albo bliska maksymalnej, a od czerwca istnieje publiczny moduł Metasploit automatyzujący cały sześciokrokowy łańcuch. Brak potwierdzonej eksploatacji przy gotowym narzędziu to stan, który zwykle nie trwa długo.
Odcięcie od sieci ogranicza ekspozycję, ale jej nie usuwa — ten sam łańcuch przejdzie użytkownik wewnętrzny albo przejęty host.
Co pokazała praktyka
Wiosną kilka osób przetestowało obietnicę „firmy bez ludzi” i opisało wyniki uczciwie. Zbieżność tych relacji jest uderzająca.
Halucynowane statystyki podawane jako fakt w materiałach marketingowych i planach biznesowych. Niezweryfikowany kod wypchnięty na produkcję z zepsutym układem strony. Autonomiczna komunikacja wychodząca — zimne maile wysłane w Twoim imieniu, których nigdy nie widziałeś. Brak ścieżki eskalacji: kiedy agent podejmie złą decyzję, nie ma nikogo, kto by ją wyłapał, a system jedzie dalej.
Sedno diagnozy: problemem nie jest to, że Paperclip źle wykonuje pojedyncze zadania. Problemem jest brak filtra jakości — nikogo w pętli, kto powie „ta liczba jest zmyślona” albo „ta strona nie renderuje się na telefonie”. Agenci wykonują z jednakową pewnością siebie niezależnie od tego, czy wynik jest dobry.
Do tego ograniczenie operacyjne: nie ma zarządzanej wersji chmurowej, więc odpowiadasz za całą infrastrukturę. Dla dewelopera to akceptowalny narzut. Dla operatora biznesowego, który chciał AI bez DevOps, to bariera dyskwalifikująca.
Wniosek, do którego doszli wszyscy niezależnie: rama „zero-human company” jest użytecznym modelem myślowym, a nie opisem rzeczywistości. Narzędzie realnie zmniejsza pracę koordynacyjną. Nie eliminuje nadzoru.
I tu wracamy do rozminięcia z początku. Odrzucono hasło marketingowe, nie kategorię. Pytanie postawione przez samego autora — czy kolejka zadań w kształcie org chartu, z budżetami i śladem audytowym, pomaga człowiekowi zarządzającemu dwudziestoma agentami — nie zostało publicznie zbadane przez nikogo. Jest znacznie skromniejsze i znacznie bardziej obiecujące.
Gdzie to stoi wobec konkurencji
Paperclip jest jednym z co najmniej sześciu graczy. LangGraph daje chirurgiczną kontrolę nad koordynacją — hydraulika orkiestracji, nie gotowe rozwiązanie. CrewAI jest najbliższy duchem. AutoGen został przez Microsoft scalony z Semantic Kernel w Microsoft Agent Framework w październiku 2025 i pozostaje w trybie utrzymania. Antigravity 2.0 to odpowiedź Google. Warstwę niżej stoi OpenClaw — pojedynczy agent, nie orkiestracja. A n8nrozwiązuje sąsiedni problem i opisaliśmy to osobno.
Wyróżnikiem Paperclipa pozostaje metafora organizacyjna: gotowa struktura zamiast klocków. Przewaga dla kogoś, kto nie chce projektować koordynacji od zera; wada dla kogoś, kto potrzebuje kontroli nad każdym krokiem.
Do zweryfikowania: status GA Microsoft Agent Framework, planowany na okolice pierwszego kwartału 2026.
Dla kogo to ma dziś sens
Ma sens, jeśli prowadzisz wielu agentów CLI równolegle i gubisz się w tym, kto co robi. To jest problem, do którego narzędzie powstało, i tu wygląda najmocniej. Ma też sens dla agencji i freelancerów potrzebujących warstwy zarządzania nad pracą, w której równolegle toczy się research, wykonanie i weryfikacja.
Nie ma sensu, jeśli szukasz automatyzacji procesu deterministycznego — to zadanie dla n8n, taniej i pewniej. Nie ma sensu bez zaplecza technicznego, bo nie ma wersji zarządzanej. I nie ma sensu jako fundament pod cokolwiek, gdzie błąd agenta ma konsekwencje prawne albo finansowe, dopóki nie zbudujesz własnej warstwy weryfikującej — narzędzie jej nie ma i nie udaje, że ma.
Jeśli wdrażasz: wersja minimum 2026.416.0, otwarta rejestracja wyłączona wszędzie, gdzie ekspozycja to uzasadnia, dostęp sieciowy ograniczony, konfiguracje agentów i wtyczki objęte przeglądem jak każdy inny artefakt wykonywalny — niezależnie od tego, z której z czterech warstw dystrybucji pochodzą.
Czego nie zweryfikowałem
Statusu Clipmartu, oficjalnego marketplace’u z roadmapy. Aktualnej liczebności katalogu companies.sh — dane o szesnastu szablonach pochodzą z wiosny i katalog od tego czasu urósł. Która z dwóch krążących wersji hasła projektu jest aktualna. Statusu GA Microsoft Agent Framework. Oraz tego, czy w trybie wieloagentowym da się w praktyce przypisać różnych dostawców modeli różnym agentom — architektura adapterów na to wskazuje, obecność adaptera Hermesa w rejestrze to potwierdza pośrednio, ale sam tego nie uruchamiałem.
Stan na 7 sierpnia 2026. Opis mechanizmów na podstawie publicznej dokumentacji projektu i repozytoriów; opis luk na podstawie analizy na cyberflux.pl i źródeł tam wskazanych; relacje z testów praktycznych na podstawie publicznych recenzji z kwietnia 2026; dane o ekosystemie z repozytoriów projektu, cliphub.fyi i clipmarts.com, odczytane 7 sierpnia. Tekst będzie aktualizowany — istotne zmiany zostaną oznaczone datą.
