Eine Höchststufen-Lücke in einem beliebten KI-Agentenwerkzeug erlaubte Befehle mit nur einer Anfrage
Ruflo stellte über eine ungeschützte MCP-Brücke 233 Werkzeuge ins Netz. Die Schwachstelle erhielt die Höchstwertung 10,0 und wurde mit Version 3.16.3 geschlossen.
Sicherheitsforscher von Noma Labs haben eine Schwachstelle der höchsten Schwereklasse in Ruflo offengelegt, einem verbreiteten Open-Source-Werkzeug zum Betrieb ganzer Schwärme von KI-Agenten. Der Fehler wird als CVE-2026-59726 geführt, trägt den Spitznamen RufRoot und erreicht auf der üblichen Bewertungsskala 10,0 von 10 Punkten. Betroffen sind alle Versionen vor 3.16.3.
Die Ursache war eine offen gelassene Tür. Ruflo stellte über eine MCP-Brücke 233 Werkzeuge bereit – darunter Shell-Befehle, Datenbankoperationen, Agentenverwaltung und Speicherfunktionen. Die Brücke verlangte keine Anmeldung und war standardmäßig über das Netzwerk erreichbar. MCP, das Model Context Protocol, ist ein zunehmend verbreiteter Standard, über den KI-Agenten mit externen Werkzeugen kommunizieren. In diesem Fall genügte eine einzige HTTP-Anfrage, um aus der Ferne beliebigen Code auf dem Rechner auszuführen. Die Forschenden demonstrierten anschließend, wie sich API-Schlüssel und gespeicherte Gespräche stehlen, vom Angreifer kontrollierte Agentenschwärme starten, der Speicher für künftige Agentenantworten manipulieren, dauerhafte Hintertüren installieren und die Shell-Historie zur Spurenbeseitigung löschen ließen. Noma Labs meldete den Fehler am 30. Juni; Ruflo veröffentlichte innerhalb von 24 Stunden eine Korrektur und sperrte die Brücke standardmäßig ab.
Was dahintersteckt
Werkzeuge für Agenten entwickeln sich schneller als ihre Absicherung. Diese Lücke zeigt lehrbuchhaft, warum das gefährlich ist. Gerade die Bequemlichkeit, die solche Programme angenehm macht – alles ist erreichbar, nichts steht im Weg, auf dem eigenen Laptop nervt keine Anmeldung –, wird zum Risiko, sobald dieselben Standardeinstellungen auf einem Server oder in einem gemeinsam genutzten Netzwerk landen. Hinzu kommt der Schaden zweiter Ordnung: Ein Angreifer konnte nicht nur Code ausführen, sondern auch den gespeicherten Agentenspeicher vergiften. Dadurch lieferte der Agent selbst lange nach dem Einbruch weiterhin vom Angreifer geprägte Ergebnisse. Die klassische IT-Sicherheit hat dafür noch keine passende Kategorie.
Was das für dich bedeutet: Hast du nie ein Agenten-Framework installiert, betrifft dich der konkrete Fehler nicht. Nutzt du Ruflo, besonders auf einem Server, solltest du heute auf Version 3.16.3 oder neuer aktualisieren. Über dieses Werkzeug hinaus helfen zwei Gewohnheiten. Gehe erstens davon aus, dass ein lokales KI-Programm an dein Netzwerk gebunden ist, solange du das Gegenteil nicht geprüft hast – und prüfe es. Gib Agenten zweitens nur Zugangsdaten mit genau den Rechten, die sie benötigen, statt deine zentralen API-Schlüssel zu verwenden. Dann kostet ein Einbruch einen eng begrenzten Schlüssel und nicht den gesamten Zugang. Bevor du dich für Agentenschwärme begeisterst, solltest du wissen: Die Werkzeuge sind wirklich nützlich und wirklich jung.
Quellen
Quellen: https://thehackernews.com/2026/07/ruflo-mcp-flaw-lets-unauthenticated.html
Ein OpenAI-Forscher geht nach acht Monaten – weil bessere Daten für ihn wichtiger sind als größere Modelle
Andrew Ho verlässt OpenAI, um spezialisierte Trainingsdatensätze zu entwickeln. Er erwartet, dass KI-Labore mehr als 100 Milliarden US-Dollar für neue Daten ausgeben werden. Ein Cambridge-Forscher erkennt von außen dasselbe Muster.
