In Kürze

  • Sicherheitsforschende von Noma Labs haben in der populären Open-Source-Plattform Ruflo (vormals Claude Flow) zur Orchestrierung von KI-Agentenschwärmen eine kritische Schwachstelle mit dem maximalen CVSS-Wert 10.0 entdeckt: CVE-2026-59726, genannt «RufRoot».
  • Die sogenannte MCP-Bridge, ein Express.js-Server, der 233 Werkzeuge über HTTP bereitstellt, verlangte keinerlei Authentifizierung; ein einziger unautorisierter HTTP-POST-Request an Port 3001 genügte, um beliebigen Code im Container auszuführen, LLM-API-Schlüssel zu stehlen, Konversationen einzusehen, Agenten zu kapern und das dauerhafte KI-Gedächtnis der Plattform zu manipulieren.
  • Ruflo, das laut Noma Labs auf GitHub über 64'000 Sterne zählt und auf MCPMarket auf Platz 2 rangiert, wurde am 30. Juni 2026 informiert; die Maintainer lieferten innerhalb weniger Stunden einen Fix (Version 3.16.3, Pull Request #2521, Sicherheitshinweis GHSA-c4hm-4h84-2cf3).

Was ist passiert?

Sicherheitsforschende von Noma Labs haben in Ruflo, einer populären Open-Source-Plattform zur Orchestrierung von KI-Agentenschwärmen, eine kritische Schwachstelle mit dem höchstmöglichen CVSS-Schweregrad von 10.0 entdeckt: CVE-2026-59726, intern «RufRoot» genannt. Ruflo, ursprünglich unter dem Namen Claude Flow bekannt und vom Entwickler Reuven Cohen ins Leben gerufen, zählt auf GitHub über 64'000 Sterne und rangiert auf der Plattform MCPMarket auf Platz 2 unter vergleichbaren Werkzeugen – es wird also von einer grossen Zahl an Entwicklungsteams weltweit eingesetzt, um mehrere KI-Agenten koordiniert an gemeinsamen Aufgaben arbeiten zu lassen.

Ursache der Schwachstelle ist die sogenannte MCP-Bridge der Plattform, ein Express.js-Server, der 233 Werkzeuge über eine HTTP-Schnittstelle bereitstellt – standardmässig völlig ohne Authentifizierung. Ein einziger unautorisierter HTTP-POST-Request an Port 3001 genügte, um im Container beliebigen Code auszuführen. Damit liessen sich API-Schlüssel für Sprachmodelle stehlen, gespeicherte Konversationen einsehen, komplette Agentenschwärme für eigene Zwecke kapern und sogar das dauerhafte Gedächtnis der Plattform gezielt manipulieren – Letzteres bedeutet, dass ein einmaliger Angriff die Antworten des Systems gegenüber allen künftigen Nutzerinnen und Nutzern unbemerkt und dauerhaft verfälschen kann.

Warum ist das wichtig?

Der Fall zeigt exemplarisch ein wachsendes Risiko rund um das Model Context Protocol (MCP), den mittlerweile weit verbreiteten offenen Standard, über den KI-Agenten auf externe Werkzeuge und Datenquellen zugreifen: Je mehr Funktionen ein Agentensystem über solche Schnittstellen bereitstellt, desto grösser die Angriffsfläche, wenn die Absicherung dieser Schnittstellen nicht mit derselben Sorgfalt behandelt wird wie klassische Programmierschnittstellen. Die Möglichkeit, das persistente Gedächtnis eines KI-Systems zu vergiften, ist dabei besonders heikel, weil ein Angriff so lange unbemerkt fortwirken kann, weit über den eigentlichen Einbruchszeitpunkt hinaus.

Positiv hervorzuheben ist die schnelle Reaktion der Ruflo-Maintainer: Nach der verantwortungsvollen Offenlegung durch Noma Labs am 30. Juni 2026 lieferten sie innerhalb weniger Stunden einen vollständigen Fix, dokumentiert im Pull Request #2521 und im öffentlichen Sicherheitshinweis GHSA-c4hm-4h84-2cf3; seit Version 3.16.3 ist die Lücke geschlossen. Dieses Tempo ist in der Open-Source-Welt keineswegs selbstverständlich und zeigt, wie wichtig etablierte Prozesse für verantwortungsvolle Offenlegung (Responsible Disclosure) gerade bei sicherheitskritischer KI-Infrastruktur sind.

Was bedeutet das für die Schweiz?

Redaktionelle Einordnung: Die folgenden Schlussfolgerungen beziehen sich auf die genannten Quellen. Sie sind keine zusätzlichen Meldungen der Originalquelle.

  • Schweizer Softwareteams und Start-ups, die auf beliebte Open-Source-Werkzeuge für KI-Agentenorchestrierung setzen, um schnell eigene Multi-Agenten-Systeme aufzubauen, müssen nach solchen Funden ihre eingesetzten Versionen konsequent aktualisieren, da unauthentifizierte Standardkonfigurationen oft unbemerkt in den Produktivbetrieb gelangen.
  • Besonders brisant ist die Möglichkeit, das persistente KI-Gedächtnis zu vergiften: Ein einmaliger, unbemerkter Angriff kann so über lange Zeit die Antworten eines Systems gegenüber allen künftigen Nutzerinnen und Nutzern manipulieren – ein Risiko, das Schweizer KMU beim Einsatz agentischer KI-Tools in ihre Risikoanalyse aufnehmen sollten.
  • Der Fall unterstreicht die Bedeutung von Sicherheitsstandards rund um das Model Context Protocol, an denen auch Schweizer Institutionen mitwirken; das Bundesamt für Cybersicherheit (BACS) empfiehlt, bei jeder Integration von MCP-Werkzeugen in bestehende IT-Landschaften explizit zu prüfen, ob Schnittstellen versehentlich ungeschützt exponiert sind.

Verwendete Quellen

Noma Security (Noma Labs) veröffentlichte die technische Analyse zu CVE-2026-59726 («RufRoot»); The Hacker News, Dark Reading, CSO Online und SC Media berichteten zusätzlich über die Verbreitung von Ruflo und die Reaktion der Maintainer.

Quellenstatus: 1 verlinkte Quelle · 0 von 1 Originaldaten verifiziert. Prüfregeln ansehen

Häufige Fragen

Was ist die Kernaussage zu Kritische Sicherheitslücke in populärer Open-Source-KI-Agentenplattform Ruflo geschlossen?

Sicherheitsforschende von Noma Labs haben in der populären Open-Source-Plattform Ruflo (vormals Claude Flow) zur Orchestrierung von KI-Agentenschwärmen eine kritische Schwachstelle mit dem maximalen CVSS-Wert 10.0 entdeckt: CVE-2026-59726, genannt «RufRoot».

Warum ist diese KI-Meldung für die Schweiz relevant?

Schweizer Softwareteams und Start-ups, die auf beliebte Open-Source-Werkzeuge für KI-Agentenorchestrierung setzen, um schnell eigene Multi-Agenten-Systeme aufzubauen, müssen nach solchen Funden ihre eingesetzten Versionen konsequent aktualisieren, da unauthentifizierte Standardkonfigurationen oft unbemerkt in den Produktivbetrieb gelangen.

Welche Quelle nutzt KI News Schweiz für diese Einordnung?

Noma Security (Noma Labs) veröffentlichte die technische Analyse zu CVE-2026-59726 («RufRoot»); The Hacker News, Dark Reading, CSO Online und SC Media berichteten zusätzlich über die Verbreitung von Ruflo und die Reaktion der Maintainer.