Ein einziger Klick — und dein KI-Agent arbeitet für die Gegenseite. In der quelloffenen KI-Agenten-Plattform Ruflo steckt eine Lücke mit dem denkbar höchsten Schweregrad: CVSS 10,0. Sie trägt den Namen RufRoot und macht aus harmlosen Automatisierungs-Helfern willfährige Handlanger für Angreifer.
GEFAHR: 233 Werkzeuge, offen ans Netz gelötet
Ruflo ist mit über 67.000 GitHub-Sternen keine Nischen-Software, sondern ein beliebtes Werkzeug, um KI-Agenten zu orchestrieren. Im Zentrum steht eine sogenannte MCP-Bridge — eine Schnittstelle, über die Agenten auf Werkzeuge zugreifen. Und genau die war das Problem.
Im Standard-Docker-Setup stellte Ruflo vor Version 3.16.3 die Endpunkte POST /mcp und /mcp/:group ohne jede Authentifizierung bereit. Über HTTP hingen dort 233 Werkzeuge offen im Netz. Die Forscher von Noma Labs brauchten nur eine einzige unauthentifizierte Anfrage an Port 3001, um einen beliebigen Shell-Befehl im Container auszuführen.
SCHOCK: Vom Schlüsselklau bis zur vergifteten Erinnerung
Was daraus folgt, ist eine ganze Kette von Schäden. Ein Angreifer kann Code ausführen, die API-Schlüssel für die angebundenen Sprachmodelle auslesen, auf Nutzergespräche zugreifen und die Agenten kapern. Besonders perfide: Er kann die persistente KI-Erinnerung der Plattform manipulieren. Ein Agent, dessen Gedächtnis vergiftet wurde, trifft danach dauerhaft falsche Entscheidungen — ohne dass jemand den Eingriff bemerkt.
Weil sich über diesen Weg auch ganze Schwärme bösartiger Agenten aufsetzen lassen, warnen Sicherheitsexperten vor „rogue AI swarms“ — außer Kontrolle geratenen KI-Flotten, die im Namen des Angreifers handeln.
WICHTIG: Der Patch ist da — aber prüfe dein Setup
Es gibt gute Nachrichten. Nach der verantwortungsvollen Meldung am 30. Juni reagierte das Ruflo-Team schnell und lieferte mit Version 3.16.3 den Fix. Wer eine ältere Version betreibt, sollte sofort aktualisieren.
Das Update allein reicht aber nicht als Beruhigung. Prüfe, ob deine MCP-Ports jemals offen im Netz erreichbar waren. War das der Fall, solltest du API-Schlüssel rotieren und die KI-Erinnerung sowie die Agenten-Konfiguration auf ungewollte Änderungen kontrollieren.
FAZIT: Ein Warnschuss für die ganze Agenten-Welt
RufRoot ist mehr als ein einzelner Bug. Es ist ein Muster. Immer mehr KI-Agenten-Plattformen öffnen mächtige Werkzeug-Schnittstellen — und vergessen dabei die simpelste Regel der IT-Sicherheit: Management-Ports gehören niemals ungeschützt ins offene Netz. Wer solche Tools im Homelab oder im Unternehmen selbst hostet, sollte jede dieser Schnittstellen so behandeln wie eine offene Haustür — und sie entsprechend absichern.