Kerentanan Ruflo MCP: Peluang Eksekusi Perintah dan Racuni Memori AI Tanpa Autentikasi

Kerentanan serius ditemukan pada Ruflo, sebuah platform open-source yang berfungsi sebagai meta-harness agen untuk Anthropic Claude Code dan OpenAI Codex. Kekurangan ini memungkinkan penyerang tanpa autentikasi melakukan eksekusi kode jarak jauh (RCE) dan bahkan meracuni memori kecerdasan buatan (AI).

Kerentanan ini tercatat dengan kode CVE-2026-59726 dan memperoleh skor kritikal CVSS 10.0, yang memengaruhi semua versi Ruflo sebelum versi 3.16.3. Tim riset dari Noma Security, Noma Labs, memberi nama kerentanan ini RufRoot.

Apa itu Ruflo dan Bagaimana Kerentanannya?

Ruflo, awalnya dikenal sebagai Claude Flow, adalah platform orkestrasi multi-agen AI yang memungkinkan pengguna mengatur swarm multi-pemain, mengoordinasikan alur kerja otonom, dan membangun sistem AI percakapan. Proyek ini sangat populer dengan lebih dari 66.500 bintang di GitHub.

Masalah utama terletak pada Model Context Protocol (MCP) bridge yang tidak terautentikasi dan terbuka secara default ke jaringan. MCP bridge ini mengekspos 233 alat, termasuk eksekusi perintah shell, operasi database, manajemen agen, dan penyimpanan memori.

File konfigurasi docker-compose.yml secara default mengikat port 3001 ke 0.0.0.0, membuat MCP bridge dapat diakses dari seluruh antarmuka jaringan. Tingkat paparan bergantung pada aturan firewall, grup keamanan, dan segmentasi jaringan, namun setiap instance yang dapat dijangkau jaringan dapat dieksploitasi tanpa autentikasi.

Bagaimana Penyerang Memanfaatkan Kerentanan Ini?

Hanya dengan melakukan permintaan HTTP POST ke port 3001, penyerang dapat mengeksekusi perintah secara remote. Contohnya:

curl -s -X POST https://<target>:3001/mcp -H "Content-Type: application/json" -d '{"jsonrpc":"2.0","id":1,"method":"tools/call","params":{"name":"ruflo__terminal_execute","arguments":{"command":"id && hostname"}}}'

Dengan akses ini, penyerang dapat:

• Mencuri kunci API yang digunakan Ruflo untuk berinteraksi dengan penyedia model bahasa besar (LLM)
• Membaca seluruh percakapan pengguna yang tersimpan di platform
• Mengubah memori AI untuk memengaruhi respons dan perilaku model
• Menanamkan backdoor persisten dengan menulis payload berbahaya ke direktori /app

"Sebelum versi 3.16.3, deployment default docker-compose Ruflo mengekspos endpoint POST /mcp dan POST /mcp/:group tanpa autentikasi, memungkinkan penyerang jaringan tanpa autentikasi untuk menjalankan perintah terminal_execute, mendapatkan shell di dalam container bridge, membaca kunci API provider, dan meracuni pola penyimpanan pembelajaran AgentDB," jelas deskripsi kerentanan di database NIST National Vulnerability Database (NVD).

Perbaikan dan Rekomendasi Keamanan

Setelah pelaporan tanggung jawab pada 30 Juni 2026, pengembang Ruflo, Reuven Cohen, merilis patch dalam waktu 24 jam. Perbaikan utama meliputi:

• Mengikat MCP bridge hanya pada antarmuka loopback secara default
• Menambahkan kontrol eksekusi server-side untuk fungsi terminal_execute
• Mengaktifkan autentikasi MongoDB untuk mencegah pencurian percakapan

"MCP bridge yang dikirim di ruflo/docker-compose.yml mengekspos POST /mcp tanpa autentikasi. Default docker-compose mengikat bridge dan MongoDB ke semua antarmuka jaringan," kata Cohen dalam catatan rilis. "Kombinasi ini memungkinkan penyerang tanpa autentikasi menjalankan tools/call → terminal_execute, mendapatkan shell, membaca semua kunci API provider dari environment container, menjalankan swarm yang dikendalikan penyerang, dan meracuni pola di AgentDB yang memengaruhi output AI."

Operator yang menjalankan Ruflo versi rentan disarankan untuk segera:

1. Menutup port firewall 3001 dan 27017
2. Merotasi semua kunci API LLM
3. Mengaudit AgentDB untuk pola-pola berbahaya yang disisipkan
4. Memeriksa MongoDB untuk tanda-tanda manipulasi data

Analisis Redaksi

Menurut pandangan redaksi, kerentanan ini menunjukkan bagaimana kekurangan konfigurasi default dapat membuka celah keamanan kritis dalam sistem AI yang kini semakin kompleks dan terintegrasi. Bahaya yang muncul bukan sekadar pencurian data, melainkan kemampuan penyerang untuk meracuni memori AI, yang berpotensi mengubah perilaku sistem dan menjebak pengguna dalam informasi yang terkontaminasi lama setelah serangan awal.

Ini menandai babak baru dalam ancaman keamanan AI, di mana bukan hanya data yang harus diamankan, tetapi juga state memori dan pola pembelajaran yang dapat disalahgunakan untuk mengubah output kecerdasan buatan secara permanen. Organisasi harus memandang perbaikan ini tidak hanya sebagai update perangkat lunak, namun juga sebagai momen penting untuk memperketat pengelolaan kredensial dan audit menyeluruh terhadap sistem AI mereka.

Kita wajib mengawasi bagaimana ekosistem open source seperti Ruflo merespons tantangan keamanan seiring dengan peningkatan penggunaan AI multi-agen. Laporan asli dari The Hacker News menyajikan peringatan penting bagi semua pengguna dan pengembang AI.

Ke depan, keamanan AI harus menjadi prioritas utama, di mana pengujian ketat dan konfigurasi aman menjadi standar wajib sebelum deployment. Ingat, AI yang rentan berarti risiko besar bagi data dan kepercayaan pengguna.