Ausgangspunkt der Schwachstelle ist laut den auf OpenCVE veröffentlichten Details eine fehlende Authentifizierung in Verbindung mit Möglichkeiten zur Befehlsausführung. Konkret ließ die Standardbereitstellung per docker-compose die MCP-Bridge-Endpunkte POST /mcp und POST /mcp/:group ohne Authentifizierung offen. Ein nicht angemeldeter Angreifer konnte dadurch einen tools/call an den Befehl terminal_execute senden, eine Shell im Bridge-Container erhalten, gespeicherte API-Schlüssel von Anbietern auslesen und Muster im AgentDB-Lernspeicher verändern.
Noma Labs demonstrierte das mit einem Proof of Concept gegen eine laufende Standardinstallation. Nach Angaben der Forscher genügte eine einzige HTTP-Anfrage an die standardmäßig im Netzwerk erreichbare MCP-Bridge, um vollständige Remote-Code-Ausführung in einer Ruflo-Installation zu erlangen. Anschließend konnten sie auf die API-Schlüssel zugreifen, mit denen Ruflo mit KI-Anbietern kommuniziert, und sämtliche auf der Plattform gespeicherten Nutzerkonversationen lesen.
Weil Ruflo als Host-Plattform für KI-Agenten dient, eröffnet die Lücke nach Einschätzung der Forscher noch eine weitere Ebene: Angreifer könnten einen Schwarm von KI-Agenten für beliebige eigene Zwecke einsetzen. Noch problematischer war für Noma Labs jedoch die Möglichkeit, den Speicher der KI so zu manipulieren, dass spätere Antworten gegenüber anderen Nutzern beeinflusst werden. Die Forscher platzierten dazu Anweisungen, die das Verhalten von Ruflo auch dann noch steuern konnten, als sie selbst keinen Zugriff mehr auf das System hatten.
Noma Labs meldete die Schwachstelle am 30. Juni an die Maintainer von Ruflo und legte einen funktionsfähigen Proof of Concept bei, der gegen eine live erreichbare Standardbereitstellung bestätigt worden war. Laut Noma veröffentlichte Ruflo innerhalb von 24 Stunden einen Fix. Die Plattform verwendet nun standardmäßig eine restriktive Konfiguration, bei der öffentliche Erreichbarkeit nur noch nach ausdrücklicher Aktivierung und mit Authentifizierung vorgesehen ist. Noma überprüfte den Fix nach eigenen Angaben unabhängig.
Nach Einschätzung von Noma Labs reicht ein Patch allein in diesem Fall jedoch nicht zwangsläufig aus. Wenn der Speicher eines KI-Systems bereits verändert wurde, könnten Organisationen trotz aktualisierter Software weiterhin mit kompromittierten Agenten arbeiten. John Gallagher, Vizepräsident bei Viakoo, bezeichnete das gegenüber der Quelle nicht als Ausnutzung klassischer Softwarefehler, sondern als „Vergiftung des Speichers“. Weil die Bedrohung die Schlussfolgerungen des Systems betreffe, markiere sie einen „kritischen Wendepunkt in der Cybersicherheit, insbesondere bei OT- und IoT-Systemen“.
Johan Edholm, Sicherheitsingenieur und Mitgründer von Detectify, ordnete ein, dass fehlende Authentifizierung zwar „eines der ältesten Fehlermuster im Internet“ sei, bei KI-Agentenplattformen aber neu sei, „was sich hinter dieser Tür befindet“. Solche Plattformen bündelten für Angreifer an einer Stelle Anbieter-API-Schlüssel, gespeicherte Konversationen, Shell-Zugriff über eigene Werkzeuge und einen persistenten Speicher, dem die KI vertraut. Ram Varadarajan, CEO von Acalvio, sagte zudem, Unternehmen müssten vergleichbare Fähigkeiten einsetzen, um KI auch gegen KI zu verteidigen.
Für Betroffene von CVE-2026-59726 empfiehlt Noma Labs als Sofortmaßnahmen, Zugangsdaten zu KI-Anbietern als kompromittiert zu behandeln und zu rotieren, den KI-Speicher der Plattform auf Manipulationen zu prüfen und Container aus einem sauberen Image neu aufzubauen.