Die Sicherheitsfirma Noma Security hat in der quelloffenen KI-Agenten-Plattform Ruflo eine kritische Schwachstelle mit dem CVSS-Wert 9,8 von 10 aufgedeckt. Über eine einzige unauthentifizierte Netzwerkanfrage konnten Angreifer fremde Installationen fernsteuern, Zugangsschlüssel entwenden und das dauerhafte Gedächtnis der KI-Agenten manipulieren. Der Anbieter schloss die Lücke mit Version 3.16.3, betroffen waren alle vorherigen Ausgaben.
Offene Schnittstelle setzt 233 Werkzeuge ohne Schutz frei
Ruflo ist eine quelloffene Software, mit der Unternehmen und Entwicklerinnen mehrere KI-Agenten koordiniert zusammenarbeiten lassen – etwa in Verbindung mit Anthropics Claude Code oder OpenAIs Codex. Das Projekt zählt rund 67.000 Sterne auf GitHub und mehr als zehn Millionen Downloads – Zahlen, die unabhängig nicht verifiziert sind. Kern der Architektur ist eine sogenannte MCP-Bridge, ein Server, der Werkzeuge wie Terminalbefehle, Datenbankzugriffe oder Speicherfunktionen für die Agenten bereitstellt.
Genau dort lag das Problem: In der Standardkonfiguration des Docker-Setups band die Bridge den Netzwerkport 3001 an alle Schnittstellen und stellte 233 Werkzeuge ohne jede Anmeldung bereit. Ein einziger unauthentifizierter HTTP-POST-Aufruf an den Endpunkt „/mcp” genügte, um beliebige Funktionen der Bridge aufzurufen. Laut der offiziellen Sicherheitsmeldung auf GitHub erhielten Angreifer darüber Shell-Zugriff als Systembenutzer „node” innerhalb des Bridge-Containers – ausreichend, um beliebige Befehle auszuführen.
Angreifer erreichen Zugangsschlüssel und dauerhaftes Gedächtnis
Von der Shell aus konnten Angreifer sämtliche Umgebungsvariablen des Containers auslesen, darunter die Zugangsschlüssel für die angebundenen Sprachmodell-Anbieter. Mit diesen Schlüsseln ließen sich eigene Anfragen auf Kosten der Betroffenen stellen oder komplette Agenten-Schwärme unter fremder Kontrolle starten. Auch die zugehörige MongoDB-Datenbank, in der Ruflo Gesprächsverläufe und Lernmuster speichert, war standardmäßig ohne Passwort erreichbar.
Besonders heikel: Über die Datenbank ließ sich der sogenannte AgentDB-Musterspeicher manipulieren, in dem Ruflo wiederkehrende Verhaltensmuster für seine Agenten ablegt. Wer hier gezielt vergiftete Einträge platziert, kann das Verhalten der KI-Agenten dauerhaft und für alle Nutzerinnen und Nutzer einer Installation verändern – etwa indem schädlicher Code als vertrauenswürdig eingestuft wird. In einer Demonstration zeigte das Forschungsteam eine komplette Angriffskette von der ersten Anfrage bis zum dauerhaften Hintertürzugang, einschließlich der Beseitigung von Spuren.
Ruflo patcht binnen eines Tages, Betreiber müssen selbst handeln
Sicherheitsforscher Eli Ainhorn meldete die Schwachstelle am 30. Juni 2026 verantwortungsvoll an Ruflo-Gründer Reuven Cohen. Laut den Release-Notes zu Version 3.16.3 veröffentlichte das Projekt bereits am 1. Juli 2026 einen Patch. Die neue Version bindet die MCP-Bridge standardmäßig nur noch an die lokale Adresse 127.0.0.1, verlangt für einen öffentlichen Zugriff zwingend ein Zugangstoken und deaktiviert die Terminalfunktion, sofern sie nicht ausdrücklich aktiviert wird. Auch die Datenbank benötigt seither ein Passwort.
Ruflo ist kostenlose, quelloffene Software, die weltweit einheitlich über GitHub und den Paketmanager npm zum Download bereitsteht – eine Beschränkung für Deutschland oder die EU besteht nicht. Wer eine ältere Version selbst betreibt, sollte umgehend auf 3.16.3 oder neuer aktualisieren, die Ports 3001 und 27017 per Firewall absichern, sämtliche Schlüssel für angebundene KI-Anbieter austauschen und den AgentDB-Musterspeicher auf verdächtige Einträge prüfen.
Offen bleibt, wie viele der nach Angaben des Projekts rund eine Million aktiven Ruflo-Installationen die offene Standardkonfiguration noch unverändert betreiben – ungepatchte Server bleiben über automatisierte Scans auch Wochen nach Bekanntwerden auffindbar. Der Fall reiht sich zudem in eine Serie von Sicherheitsvorfällen rund um autonome KI-Agenten-Frameworks ein, wie zuletzt der Missbrauch des Open-Source-Werkzeugs Hermes Agent für automatisierte Angriffe auf mehr als 460 Systeme zeigte. Je mehr Unternehmen Agenten mit weitreichenden Werkzeugrechten einsetzen, desto stärker verlagert sich das Risiko von der Qualität einzelner Modelle auf die Absicherung der Infrastruktur darum herum.
