Ruflo MCP: Kritische Lücke ermöglicht unauthentifizierte Befehle in KI-Umgebungen
Sicherheitsforscher haben eine Schwachstelle maximaler Kritikalität in Ruflo entdeckt, einem Open-Source-Agent-System für Anthropic Claude Code und OpenAI Codex. Wie The Hacker News meldet, können unauthentifizierte Angreifer HTTP-Anfragen an exponierte Endpunkte senden und Befehle direkt im MCP-Bridge-Container ausführen. SecurityWeek bestätigt, dass die Anfälligkeit es Angreifern ermöglicht, unkontrollierte KI-Schwärme zu erzeugen und damit erhebliche Schäden anzurichten.
Die Lücke ist dabei besonders tückisch: Laut Dark Reading handelt es sich um einen "patch-resistenten" Fehler, der KI-Agent-Speicher dauerhaft korruptiert. Das bedeutet, dass bösartige Verhaltensweisen selbst nach einem Sicherheitsupdate bestehen bleiben können. Der Angreifer gewinnt nicht nur temporäre Kontrolle über das System, sondern kann durch die Manipulation der Agent-Memory persistente Backdoors etablieren. Dies unterscheidet sich grundlegend von klassischen Injection-Angriffen, bei denen ein Patch das Problem behebt.
Für deutschsprachige Organisationen ist die Lücke hochrelevant, insbesondere für Mittelstand und Unternehmens-IT, die Ruflo als Infrastruktur-Basis für eigene Claude-integrierte Anwendungen nutzen. Die fehlende Authentifizierung bedeutet, dass bereits die Netzwerk-Exposition des Systems reicht — kein Credential-Stuffing oder Social Engineering nötig. Wer Ruflo produktiv einsetzt und eine MCP-Bridge nach außen exponiert hat (z. B. über Docker-Container ohne Reverse-Proxy-Authentifizierung), läuft aktuell unmittelbar in den Angriff.
Darüber hinaus berührt der Sachverhalt die DSGVO: Sollte ein Angreifer durch diese Lücke Trainingsdaten oder personenbezogene Informationen aus LLM-Kontext extrahieren, muss dies gemeldet werden. Die Schwachstelle fällt unter die Kategorie der "kritischen Infrastruktur-Fehler" im Sinne des EU-AI-Acts.
Die sofortige Maßnahme: Ruflo-Instanzen offline nehmen oder hinter starker Authentifizierung (mTLS, VPN, Firewall-Rules) verstecken. Ein einfaches Patch ist hier nicht ausreichend — das System muss als kompromittiert behandelt werden, bis unklar ist, wie lange es exponiert war.