Kurzfassung

Sicherheitsforschende von Noma Labs haben in der populären Open-Source-Plattform Ruflo (vormals Claude Flow) zur Orchestrierung von KI-Agentenschwärmen eine kritische Schwachstelle mit dem maximalen CVSS-Wert 10.0 entdeckt: CVE-2026-59726, genannt «RufRoot».

  • Sicherheitsforschende von Noma Labs haben in der populären Open-Source-Plattform Ruflo (vormals Claude Flow) zur Orchestrierung von KI-Agentenschwärmen eine kritische Schwachstelle mit dem maximalen CVSS-Wert 10.0 entdeckt: CVE-2026-59726, genannt «RufRoot».
  • Die sogenannte MCP-Bridge, ein Express.js-Server, der 233 Werkzeuge über HTTP bereitstellt, verlangte keinerlei Authentifizierung; ein einziger unautorisierter HTTP-POST-Request an Port 3001 genügte, um beliebigen Code im Container auszuführen, LLM-API-Schlüssel zu stehlen, Konversationen einzusehen, Agenten zu kapern und das dauerhafte KI-Gedächtnis der Plattform zu manipulieren.
  • Ruflo, das laut Noma Labs auf GitHub über 64'000 Sterne zählt und auf MCPMarket auf Platz 2 rangiert, wurde am 30. Juni 2026 informiert; die Maintainer lieferten innerhalb weniger Stunden einen Fix (Version 3.16.3, Pull Request #2521, Sicherheitshinweis GHSA-c4hm-4h84-2cf3).

Was ist passiert?

Sicherheitsforschende von Noma Labs haben in Ruflo, einer populären Open-Source-Plattform zur Orchestrierung von KI-Agentenschwärmen, eine kritische Schwachstelle mit dem höchstmöglichen CVSS-Schweregrad von 10.0 entdeckt: CVE-2026-59726, intern «RufRoot» genannt. Ruflo, ursprünglich unter dem Namen Claude Flow bekannt und vom Entwickler Reuven Cohen ins Leben gerufen, zählt auf GitHub über 64'000 Sterne und rangiert auf der Plattform MCPMarket auf Platz 2 unter vergleichbaren Werkzeugen – es wird also von einer grossen Zahl an Entwicklungsteams weltweit eingesetzt, um mehrere KI-Agenten koordiniert an gemeinsamen Aufgaben arbeiten zu lassen.

Ursache der Schwachstelle ist die sogenannte MCP-Bridge der Plattform, ein Express.js-Server, der 233 Werkzeuge über eine HTTP-Schnittstelle bereitstellt – standardmässig völlig ohne Authentifizierung. Ein einziger unautorisierter HTTP-POST-Request an Port 3001 genügte, um im Container beliebigen Code auszuführen. Damit liessen sich API-Schlüssel für Sprachmodelle stehlen, gespeicherte Konversationen einsehen, komplette Agentenschwärme für eigene Zwecke kapern und sogar das dauerhafte Gedächtnis der Plattform gezielt manipulieren – Letzteres bedeutet, dass ein einmaliger Angriff die Antworten des Systems gegenüber allen künftigen Nutzerinnen und Nutzern unbemerkt und dauerhaft verfälschen kann.

Warum ist das wichtig?

Der Fall zeigt exemplarisch ein wachsendes Risiko rund um das Model Context Protocol (MCP), den mittlerweile weit verbreiteten offenen Standard, über den KI-Agenten auf externe Werkzeuge und Datenquellen zugreifen: Je mehr Funktionen ein Agentensystem über solche Schnittstellen bereitstellt, desto grösser die Angriffsfläche, wenn die Absicherung dieser Schnittstellen nicht mit derselben Sorgfalt behandelt wird wie klassische Programmierschnittstellen. Die Möglichkeit, das persistente Gedächtnis eines KI-Systems zu vergiften, ist dabei besonders heikel, weil ein Angriff so lange unbemerkt fortwirken kann, weit über den eigentlichen Einbruchszeitpunkt hinaus.

Positiv hervorzuheben ist die schnelle Reaktion der Ruflo-Maintainer: Nach der verantwortungsvollen Offenlegung durch Noma Labs am 30. Juni 2026 lieferten sie innerhalb weniger Stunden einen vollständigen Fix, dokumentiert im Pull Request #2521 und im öffentlichen Sicherheitshinweis GHSA-c4hm-4h84-2cf3; seit Version 3.16.3 ist die Lücke geschlossen. Dieses Tempo ist in der Open-Source-Welt keineswegs selbstverständlich und zeigt, wie wichtig etablierte Prozesse für verantwortungsvolle Offenlegung (Responsible Disclosure) gerade bei sicherheitskritischer KI-Infrastruktur sind.

Was bedeutet das für die Schweiz?

Schweizer Softwareteams und Start-ups, die auf beliebte Open-Source-Werkzeuge zur KI-Agentenorchestrierung setzen, um rasch eigene Multi-Agenten-Systeme aufzubauen, müssen nach solchen Funden ihre eingesetzten Versionen konsequent und zeitnah aktualisieren – insbesondere weil unauthentifizierte Standardkonfigurationen erfahrungsgemäss oft unbemerkt bis in den Produktivbetrieb gelangen, ohne dass jemand die Zugriffsschutzeinstellungen aktiv überprüft hat.

Für Schweizer KMU ohne dedizierte IT-Sicherheitsabteilung liefert der Fall eine konkrete Ergänzung zu den Minimalstandards, die das Bundesamt für Cybersicherheit (BACS) empfiehlt: Bei jeder Integration von MCP-fähigen KI-Werkzeugen in die eigene IT-Landschaft sollte explizit geprüft werden, ob Schnittstellen versehentlich ungeschützt nach aussen exponiert sind – eine Kontrolle, die angesichts der rasant wachsenden Zahl an Agentenplattformen zunehmend Teil der Grundabsicherung werden sollte.

Häufige Fragen

Was ist die Kernaussage zu Kritische Sicherheitslücke in populärer Open-Source-KI-Agentenplattform Ruflo geschlossen?

Sicherheitsforschende von Noma Labs haben in der populären Open-Source-Plattform Ruflo (vormals Claude Flow) zur Orchestrierung von KI-Agentenschwärmen eine kritische Schwachstelle mit dem maximalen CVSS-Wert 10.0 entdeckt: CVE-2026-59726, genannt «RufRoot».

Warum ist diese KI-Meldung für die Schweiz relevant?

Schweizer Softwareteams und Start-ups, die auf beliebte Open-Source-Werkzeuge für KI-Agentenorchestrierung setzen, um schnell eigene Multi-Agenten-Systeme aufzubauen, müssen nach solchen Funden ihre eingesetzten Versionen konsequent aktualisieren, da unauthentifizierte Standardkonfigurationen oft unbemerkt in den Produktivbetrieb gelangen.

Welche Quelle nutzt KI News Schweiz für diese Einordnung?

Noma Security (Noma Labs) veröffentlichte die technische Analyse zu CVE-2026-59726 («RufRoot»); The Hacker News, Dark Reading, CSO Online und SC Media berichteten zusätzlich über die Verbreitung von Ruflo und die Reaktion der Maintainer.