Sebuah kerentanan dengan skor CVSS maksimal 10.0 telah ditemukan pada platform AI agent open-source Ruflo. Kelemahan ini, yang diberi nama RufRoot dan tercatat sebagai CVE-2026-59726, memungkinkan penyerang tanpa autentikasi mengambil alih lingkungan AI perusahaan melalui jembatan Model Context Protocol (MCP) yang terekspos secara default.
Menurut analisis Noma Security, kerentanan ini memengaruhi versi Ruflo sebelum 3.16.3. Penyerang dapat menjalankan kode arbitrer, mencuri kunci API model bahasa besar, mengakses percakapan pengguna, membajak agent AI, serta memanipulasi memori persisten AI hanya dengan satu permintaan HTTP.
Inti masalah terletak pada MCP Bridge bawaan Ruflo yang berjalan sebagai server Express.js. Bridge ini mengekspos 233 alat yang mencakup akses shell, operasi basis data, manajemen agent, dan penyimpanan memori. Titik akhir /mcp menerima pemanggilan alat tanpa autentikasi apa pun, sehingga membuka jalur langsung ke sumber daya sistem.
Dalam demonstrasi bukti konsep, peneliti menggunakan alat terminal_execute untuk memperoleh eksekusi perintah di dalam kontainer. Mereka juga berhasil menginventarisasi alat yang tersedia, mencuri kunci API dari variabel lingkungan, menyebarkan swarm agent yang dikendalikan penyerang, serta mengambil data percakapan dari MongoDB.
Selain itu, peneliti menunjukkan teknik peracunan memori AI dengan memasukkan entri berbahaya ke dalam penyimpanan pola AgentDB. Hal ini memungkinkan instruksi yang dikendalikan penyerang memengaruhi respons AI di masa mendatang.
Meskipun perbaikan telah dirilis dalam hitungan jam setelah pengungkapan bertanggung jawab, organisasi yang menjalankan Ruflo disarankan untuk segera menutup akses firewall ke port 3001 dan 27017, memutar ulang semua kunci API LLM, serta mengaudit AgentDB dan MongoDB untuk mendeteksi entri berbahaya.
Salah satu analisis tambahan yang muncul dari temuan ini adalah bahwa MCP Bridge berfungsi sebagai sistem saraf pusat bagi seluruh operasi agent. Ketika komponen ini terekspos tanpa autentikasi, seluruh rantai alat dan memori menjadi rentan, bukan hanya satu fungsi tunggal.
Analisis kedua menyoroti bahwa memori AI yang dapat ditulis secara persisten menciptakan permukaan serangan baru. Berbeda dengan teknik persistensi tradisional, data beracun di dalam penyimpanan memori tetap aktif dan terus memengaruhi perilaku agent bahkan setelah insiden awal diatasi, sehingga memerlukan audit terpisah di luar penerapan patch.
