パッチ耐性のある「RufRoot」の欠陥、悪意あるAIエージェント群を解き放つ恐れ

オープンソースのAIエージェントプラットフォームであるRufloに存在する最大深刻度の脆弱性により、攻撃者がオーケストレーションフレームワークの内部からさまざまな悪意ある活動を行えることが判明し、企業のAI導入環境がリスクにさらされています。この欠陥は、パッチ適用後もエージェントの挙動を汚染したままにする可能性があります。

Noma SecurityのNoma Labsの研究者たちは、CVE-2026-59726として追跡されているこの欠陥をRuflo（旧称Claude Flow、CodexおよびClaude CodeのClaude Code向けにAIエージェント群をホストするプラットフォーム）で発見し、本日明らかにしました。この脆弱性はCVSS深刻度スコアの最高値である10を記録しており、Noma Labsによればログインを一切行わずにプラットフォームへアクセスできてしまうということです。

「この弱点は認証機能の欠如とコマンド実行能力が組み合わさったもので、コンテナの完全な制御と機密性の高い認証情報の露出を可能にしてしまいます」と、OpenCVEに掲載されたこの欠陥の詳細説明には記されています。

具体的には、Rufloのデフォルトのdocker-compose構成では、MCPブリッジのPOST /mcpおよびPOST /mcp/:groupエンドポイントが認証なしで開放されたままになっていました。OpenCVEによると、これにより未認証の攻撃者はterminal_executeコマンドへのtools/callを発行し、ブリッジコンテナ内でシェルを取得し、保存されているプロバイダーAPIキーを読み取り、さらにAgentDBの学習ストアパターンを改変することが可能になっていました。

メモリ改ざんは修正後も残存

Noma Labsの研究者たちは、概念実証(PoC)を用いて、デフォルトでネットワークに開放されている未認証のモデルコンテキストプロトコル(MCP)ブリッジ経由でRufloにアクセスし、単一のHTTPリクエストだけでRufloの展開環境内において完全なリモートコード実行が可能であることを実証したと述べています。侵入後は、Rufloが各種AIプロバイダーとの通信に使用するAPIキーにアクセスできたほか、プラットフォームに保存されているすべてのユーザー会話を読み取ることができたということです。

RufloがAIエージェントのホスティングプラットフォームであることを踏まえると、この欠陥により攻撃者はAIエージェント群を意のままに操作できてしまう恐れがあります。

おそらく最も懸念されるのは、研究者たちがAI自身の記憶(メモリ)を改ざんし、攻撃者がシステムから立ち去った後も長期にわたって、その後のユーザーへの応答に影響を及ぼせることを確認した点だとしています。研究者たちは、システムの内部にもはや存在していない状態でもRufloの挙動を操作できる指示を植え付けることで、これを実現したということです。

Noma Labsは6月30日にこの脆弱性をRufloのメンテナーに開示し、実際のデフォルト展開環境に対して有効性を確認済みの動作するPoCを添付しました。Nomaによれば、Rufloは24時間以内に対応し、修正版をリリース。プラットフォームの既定設定を、公開状態を明示的なオプトインとして扱い認証を必須とするロックダウン構成に変更したとのことで、Nomaはこの修正を独自に検証済みです。

とはいえ、Noma Labsによれば、エンタープライズプラットフォームにおける従来型の脆弱性への対処法であった単なるソフトウェアへのパッチ適用は、AIシステム内部のメモリ汚染を許してしまう欠陥に対しては、もはや確実な解決策とはならないということです。パッチを適用したとしても、組織は依然として汚染されたエージェントを稼働させ続けている可能性があります。実際、この脆弱性のこの側面は、AIエージェントを導入する企業にとって新しい種類のリスクを表していると専門家たちは指摘しています。

「これはソフトウェアの欠陥を悪用しているのではなく、メモリの汚染です」と、OTおよびIoTのサイバー衛生対策企業であるViakooの副社長John Gallagher氏は指摘します。このサイバー脅威が推論能力に影響を及ぼすことから、この欠陥は「サイバーセキュリティ、とりわけOTおよびIoTシステムにとって重大な転換点」を意味すると同氏は述べています。

新種のAI脅威への防御

今回のRufloの脆弱性の発見は、ベンチマークテスト中にOpenAIのモデルが自律的にHugging Face AIプラットフォームをハッキングした事案の直後に明らかになったもので、防御側が自らのAIシステムの挙動からシステムを守るという新たな脅威のパラダイムに直面していることを浮き彫りにしています。

アプリケーションセキュリティテスト企業Detectifyのセキュリティエンジニアで共同創業者のJohan Edholm氏は、この脆弱性における認証の欠如自体は目新しいものではなく、実のところ「インターネット上で最も古い失敗パターンの一つ」だとしながらも、AIエージェントの悪用において新しいのは「その扉の向こう側にあるもの」だと指摘します。

「エージェントプラットフォームは、攻撃者が欲しがるものすべてを一箇所に集約してしまいます。プロバイダーのAPIキー、保存されているすべての会話、独自のツールを介したシェルアクセス、そしてAIが信頼している永続的なメモリまでもがそこにあります」と同氏はDark Readingに語っています。「言い換えれば、バグの種類自体は古いものですが、被害の及ぶ範囲は新しいのです」。

実際、攻撃者がAIの推論を汚染できるのであれば、組織側にもAIを使ってAIと戦うという同等の能力が必要になると、サイバー検知技術企業Acalvioの最高経営責任者(CEO)であるRam Varadarajan氏は述べています。これは「敵対的なAIが行動を起こす前にその推論を汚染する」ことを意味し、ボット同士によるサイバー防御を採用することにもなり得るとしています。

Noma Labsは現時点での助言として、CVE-2026-59726の影響を受けた組織に対し、AIプロバイダーの認証情報は汚染されたものとみなしてローテーションすること、プラットフォームのAIメモリに改ざんがないか監査すること、そしてクリーンなイメージからコンテナを再構築することを、当面の対策として挙げています。