Ruflo, ursprünglich als Claude Flow gestartet, ist eine Plattform zur Orchestrierung mehrerer KI-Agenten. Das Projekt dient dazu, Multi-Agenten-Schwärme bereitzustellen, autonome Abläufe zu koordinieren und dialogorientierte KI-Systeme aufzubauen. Auf GitHub kommt es auf mehr als 66.500 Sterne.
Der Kern des Problems: Ruflo stellte 233 Werkzeuge über eine nicht authentifizierte MCP-Brücke bereit, die standardmäßig im Netzwerk offenstand. Dazu zählten laut Quelltext Shell-Befehlsausführung, Datenbankoperationen, Agentenverwaltung und Speicherfunktionen. Sicherheitsforscher Eli Ainhorn zufolge reichte bei erreichbaren Instanzen eine einzige unauthentisierte HTTP-POST-Anfrage an Port 3001, um vollständige Remote-Code-Ausführung innerhalb einer anfälligen Bereitstellung zu erlangen.
Technisch lag die Ursache in der Datei „docker-compose.yml“. Diese band Port 3001 standardmäßig an 0.0.0.0 und machte die Brücke damit auf allen Netzwerkschnittstellen erreichbar. Wie groß die tatsächliche Angriffsfläche war, hing laut Bericht von Firewall-Regeln, Sicherheitsgruppen und der Netzwerksegmentierung ab. Jede über das Netzwerk erreichbare Instanz sei jedoch ohne Anmeldung vollständig ausnutzbar gewesen.
In der Beschreibung der Schwachstelle in der National Vulnerability Database des NIST heißt es, dass Ruflo vor Version 3.16.3 die Endpunkte POST /mcp und POST /mcp/:group ohne Authentifizierung freigab. Ein Angreifer aus dem Netzwerk konnte dadurch tools/call für „terminal_execute“ aufrufen, eine Shell im Bridge-Container erhalten, API-Schlüssel der Anbieter auslesen und Muster im AgentDB-Lernspeicher manipulieren.
Nach Angaben von Noma Security war die Befehlsausführung nur der erste Schritt zu einer umfassenderen Kompromittierung. Genannt werden der Diebstahl von LLM-API-Schlüsseln, das Auslesen sämtlicher auf der Plattform gespeicherter Gespräche, die missbräuchliche Nutzung von Agenten sowie die Vergiftung des KI-Speichers. Dauerhafte Hintertüren ließen sich demnach durch das Schreiben einer schädlichen Nutzlast in das Verzeichnis „/app“ etablieren.
Projektbetreuer Reuven Cohen veröffentlichte nach verantwortungsvoller Offenlegung am 30. Juni 2026 innerhalb von 24 Stunden einen Patch. Laut Versionshinweisen bindet die MCP-Brücke nun standardmäßig an die Loopback-Schnittstelle. Außerdem wird „terminal_execute“ serverseitig über executeTool-Kontrollen eingeschränkt, und MongoDB-Authentifizierung soll das Auslesen von Gesprächen verhindern.
Cohen schrieb in den Versionshinweisen, dass die Standardkonfiguration von docker-compose sowohl die MCP-Brücke als auch MongoDB an allen Schnittstellen band. In Kombination habe ein nicht authentisierter Angreifer im Netzwerk „terminal_execute“ im Bridge-Container aufrufen, eine Shell erhalten, API-Schlüssel aus den Umgebungsvariablen des Containers lesen, vom Angreifer kontrollierte Schwärme auf Kosten des Opfers starten und ein manipuliertes Muster dauerhaft im AgentDB-Lernspeicher verankern können.
Betreibern exponierter Instanzen wird empfohlen, die Firewall-Ports 3001 und 27017 sofort zu schließen, sämtliche LLM-API-Schlüssel zu rotieren, den AgentDB-Musterspeicher auf eingeschleuste agentdb_pattern-store-Einträge zu prüfen und MongoDB auf Manipulationsspuren zu untersuchen. Noma betont zudem, dass eine Behebung hier nicht mit einem bloßen Software-Update endet: Zugangsdaten zu KI-Anbietern seien als kompromittiert zu behandeln, der KI-Speicher müsse auf Manipulation geprüft und Container aus einem sauberen Image neu aufgebaut werden.