研究者らによると、認証不要の脆弱性によりコード実行、認証情報の窃取、AIメモリ汚染、そして持続的な侵害が可能になるといいます。
オープンソースのAIエージェントプラットフォーム「Ruflo」に重大な脆弱性が存在し、認証を受けていない攻撃者がModel Context Protocol(MCP)ブリッジの公開設定を悪用することで、企業のAI環境を掌握できる可能性があることが、Noma Securityの発表した調査で明らかになりました。
この脆弱性はCVE-2026-59726として追跡されており、「RufRoot」と名付けられています。CVSSスコアは最大値の10.0で、Rufloのバージョン3.16.3より前のバージョンに影響すると、Noma Securityはブログの投稿で説明しています。
この脆弱性を悪用すると、攻撃者はたった一つのHTTPリクエストによって、任意のコードを実行したり、大規模言語モデル(LLM)のAPIキーを窃取したり、ユーザーの会話履歴にアクセスしたり、AIエージェントを乗っ取ったり、さらにはプラットフォームの永続的なAIメモリを操作したりできてしまいます。
研究者らによると、問題の根本原因は、デフォルトで外部に公開され、AIエージェントが企業システムとやり取りする際に使用するツール群へ直接アクセスできてしまう、認証機構を欠いたMCPブリッジにあるといいます。
「MCPブリッジは、単なる補助的なデバッグ用インターフェースではありません。むしろRufloの中枢神経系そのものです。あらゆるツール呼び出し、あらゆるエージェントの動作、あらゆるメモリ操作がこのMCPブリッジを経由します」と研究者らは記しています。「MCPブリッジへの認証なしアクセスを誤って許してしまうということは、すべてへの認証なしアクセスを許してしまうことを意味します」。
たった一回のリクエストで完全な侵害に至る
Noma Securityによると、Rufloに組み込まれたMCPブリッジはExpress.jsサーバーであり、AIエージェントによるすべてのツール呼び出しを処理します。このブリッジはシェルアクセス、データベース操作、エージェント管理、メモリストレージにまたがる233個のツールを公開しています。
研究者らによると、このブリッジの/mcpエンドポイントは認証なしでツール呼び出しを受け付けてしまうといいます。概念実証(PoC)のデモンストレーションでは、Rufloのterminal_executeツールを利用し、一つのHTTPリクエストだけでコンテナ内でのコマンド実行に成功しました。
「MCPブリッジはこれらのコマンドを実行するために基盤となるシステムリソースへの直接アクセスを必要とするため、極めてリスクの高いセキュリティ境界を作り出しています」と研究者らは記しています。「攻撃者が認証なしでこのエンドポイントに到達できてしまうと、基盤となるホストインフラへの直通経路を手にすることになります」。
研究者らは、利用可能なツールを列挙し、環境変数からLLMプロバイダーのAPIキーを窃取し、攻撃者が制御するAIエージェント群を展開し、MongoDBに保存されているユーザーの会話履歴を取得し、さらには持続的な侵害の足場を確立できたと述べています。
研究者らはまた、RufloのAgentDBパターンストアに悪意のあるエントリを挿入することで、今後のAIの応答に攻撃者が仕込んだ指示を組み込ませる、いわゆる「AIメモリ汚染」も実演してみせました。
研究者らによると、この一連の攻撃チェーンの各段階は、AWS EC2上で稼働するデフォルト設定のRufloデプロイメントに対して検証されたとのことです。
Rufloにとどまらない、より広範なMCPセキュリティの課題
今回の認証に関する脆弱性はRufloに固有のものですが、セキュリティの実務担当者らは、この調査結果がAIオーケストレーションプラットフォームとMCPインフラ全般に広がるリスクを浮き彫りにしていると指摘しています。
「MCPの導入は、多くのオーケストレーションツールに組み込まれたセキュリティのデフォルト設定を置き去りにする速さで進んでいます」と、KanerikaのAI開発マネージャーであるAmit Jena氏は述べています。「これらのプラットフォームは迅速な提供を優先し、セットアップの容易さを認証よりも重視し、ネットワーク境界が守ってくれるという前提に立って開発されてきました。しかし、そのツールが企業ネットワークから到達可能なサーバー上に置かれた時点で、その前提は崩れます。そして今、企業がこうしたツールを運用する環境は、まさにそうした状況になりつつあります」。
Jena氏は、今回の調査結果が特定の一製品にとどまらないセキュリティ上の懸念を示していると述べています。
「メモリ汚染の問題は特定の製品に限った話ではなく、その点にこそ注意を払う価値があります」と同氏は語ります。「エージェントに永続的で書き込み可能なメモリストアを与えるプラットフォームは、そのストアをセキュリティ境界として扱う必要があります。誰がそこに書き込めるのか、そしてシステムが生成したメモリなのか攻撃者が仕込んだメモリなのかを区別できるのか、という点です。現時点でそれを実践できているプラットフォームはごくわずかです」。
同氏はさらに、従来の持続的侵害の手法とは異なり、汚染されたAIメモリは信頼されたデータストアの内部に残り続け、最初の侵入が終わった後も将来のエージェントの挙動に影響を及ぼし続ける可能性があると付け加えています。
パッチにより攻撃チェーンに対処
Noma Securityは、この脆弱性をRufloに責任ある方法で開示し、Rufloは数時間以内に修正版を公開するとともに、セキュリティ勧告を発表したと述べています。
研究者らによると、更新版ではMCPブリッジがデフォルトでループバックインターフェースにバインドされるよう変更され、管理者が認証設定を行わないままこれを外部に公開しようとした場合には接続に失敗する(フェイルクローズ)仕様になったとのことです。
Noma Securityはまた、Rufloを運用している組織に対し、ポート3001および27017へのファイアウォールアクセスを直ちに遮断すること、すべてのLLM APIキーをローテーションすること、AgentDBを監査して悪意のあるエントリがないか確認すること(「パッチを適用して再デプロイしただけでは、汚染そのものは解消されない」ため)、そしてMongoDBに改ざんの痕跡がないか調べることを強く推奨しています。
Jena氏は、組織がAIオーケストレーションプラットフォームの展開・管理方法そのものを見直すべきだとも述べています。
「あるコンポーネントがシェルコマンドを実行したりデータベースに問い合わせたりできるのであれば、それは環境内の他の特権システムと同等の認証、ネットワークセグメンテーション、ログ記録の対象とすべきです」と同氏は語ります。同氏はさらに、セキュリティチームはAIエージェントの展開を通じて公開されているツールを棚卸しし、AIの永続メモリについてはソフトウェアのパッチ適用とは別に監査を行い、疑わしい漏えいが発生した際にはLLMプロバイダーの認証情報の権限範囲を狭めた上でローテーションするよう推奨しています。
