何が起きたか
Noma Security (Noma Labs) は、AI エージェントワークフロー (Codex/Claude Code ホスティング) のすべてのツール呼び出しを処理する Ruflo の MCP Bridge コンポーネントが、プロジェクトのデフォルト Docker Compose 設定で認証なしで公開されていることを発見しました。公開されたブリッジへの単一の HTTP リクエストにより、攻撃者は完全なコード実行権とエージェントシークレットおよびメモリへのアクセスを取得します。
なぜ重要か
これは最大重大度 (CVSS 10.0) の新しいエージェント実行攻撃クラスです: MCP ツール呼び出しブリッジの認証なし露出は、完全なエージェント乗っ取り、LLM 認証情報流出、および永続的なメモリポイズニングを直接可能にします — 従来のセキュリティツールが検出または修復するために構築されていない新しいインシデント対応カテゴリ (メモリポイズニング)。
攻撃経路
公開されたMCP ブリッジ /mcp エンドポイント (ポート 3001 の Express.js サーバー) への単一の認証なし HTTP POST リクエストにより、攻撃者は 233 のツールハンドラのいずれかを呼び出し、リモートコード実行を実現し、LLM API キーを盗み、保存されたユーザー会話を読み取り、実行中の AI エージェントをハイジャック、およびエージェントの永続的なメモリストアをポイズニングすることができます
影響を受けるシステム
Ruflo (旧 Claude Flow) AI エージェント オーケストレーションプラットフォーム、バージョン 3.16.3 より前
緩和策
Ruflo 3.16.3+ にアップグレードしてください。これはブリッジをループバックにバインドし、terminal_execute をアクセス制御の背後に置き、MongoDB 認証を有効にします。すべての露出した LLM API キーをローテーションし、ポイズニングのためにエージェントメモリストアを監査してください。GHSA-c4hm-4h84-2cf3。