La falla de Ruflo MCP permite a atacantes no autenticados ejecutar comandos y envenenar la memoria de la IA – CYBERDEFENSA.MX
Los investigadores de ciberseguridad han señalado una falla de seguridad de máxima gravedad en Ruflóun meta-arnés de agente de código abierto para Anthropic Claude Code y OpenAI Codex, que podría resultar en la ejecución remota de código no autenticado.
La vulnerabilidad, rastreada como CVE-2026-59726 (Puntuación CVSS: 10.0), afecta a todas las versiones del proyecto anteriores a la versión 3.16.3. ha sido nombrado en clave raízruf por el equipo de investigación de Noma Security, Noma Labs.
Lanzado originalmente como Claude Flow, Ruflo es una plataforma y un arnés de orquestación de múltiples agentes de inteligencia artificial que permite a los usuarios implementar enjambres de múltiples jugadores, coordinar flujos de trabajo autónomos y crear sistemas de inteligencia artificial conversacionales. El proyecto cuenta con más de 66.500 estrellas en GitHub.
El quid de la vulnerabilidad es que Ruflo expuso 233 herramientas, incluida la ejecución de comandos de shell, operaciones de bases de datos, administración de agentes y almacenamiento de memoria, a través de un puente de Protocolo de contexto modelo (MCP) no autenticado que está abierto a la red de forma predeterminada.
Específicamente, se encontró que el archivo de configuración YAML «docker-compose.yml» vincula el puerto 3001 a 0.0.0.0 de forma predeterminada, exponiendo el puente en todas las interfaces de red. Dicho esto, el grado de exposición depende de las reglas de firewall, los grupos de seguridad y la segmentación de la red de la implementación. Vale la pena señalar que cualquier instancia accesible en red es completamente explotable sin autenticación.
Como resultado, un único HTTP POST no autenticado en el puerto 3001 hizo posible obtener la ejecución remota completa de código dentro de una implementación Ruflo susceptible, según el investigador de seguridad Eli Ainhorn.
curl -s -X POST https://:3001/mcp -H "Content-Type: application/json" -d '{"jsonrpc":"2.0","id":1,"method":"tools/call","params":{"name":"ruflo__terminal_execute","arguments":{"command":"id && hostname"}}}' Armado con este punto de apoyo, un atacante podría desviar las claves API que Ruflo usa para interactuar con proveedores de modelos de lenguaje grandes (LLM), leer cada conversación de usuario almacenada en la plataforma e interferir con la memoria del sistema de inteligencia artificial para influir en las respuestas y el comportamiento del modelo.
En otras palabras, la ejecución de comandos sirve como un trampolín para un compromiso total, lo que permite el robo de claves API de LLM, la utilización de agentes como armas, el envenenamiento de la memoria de la IA, la recolección de conversaciones y la implementación persistente de puertas traseras al escribir una carga útil maliciosa en el directorio «/app».
«Antes de 3.16.3, la implementación predeterminada de Docker-Compose de Ruflo exponía los puntos finales POST /mcp y POST /mcp/:group del puente MCP sin autenticación, lo que permitía a un atacante de red no autenticado invocar herramientas/llamar a terminal_execute, obtener un shell en el contenedor del puente, leer las claves API del proveedor y envenenar los patrones del almacén de aprendizaje de AgentDB», según un descripción de la falla en la Base de Datos Nacional de Vulnerabilidad (NVD) del NIST.
Tras la divulgación responsable el 30 de junio de 2026, un solución para la vulnerabilidad fue impulsado por el mantenedor del proyecto, Reuven Cohen, dentro de las 24 horas. Como parte del parche, el puente MCP ahora se vincula a la interfaz loopback de forma predeterminada, bloquea «terminal_execute» detrás de los controles de ejecución de la herramienta del lado del servidor y habilita la autenticación MongoDB para evitar el robo de conversaciones, entre otras cosas.
«El envío del puente MCP en ruflo/docker-compose.yml expuso POST /mcp sin autenticación», dijo Cohen en las notas de la versión. «Los valores predeterminados de Docker-Compose vinculan el puente y MongoDB a todas las interfaces».
«En combinación, un atacante de red no autenticado podría invocar herramientas/llamada → terminal_execute dentro del contenedor puente, obtener un shell, leer cada clave API del proveedor desde el entorno del contenedor, generar enjambres controlados por el atacante en las claves de la víctima y persistir un patrón envenenado en el almacén de aprendizaje de AgentDB que dirige futuras salidas de IA».
Se recomienda a los operadores que ejecutan una instancia expuesta cerrar inmediatamente los puertos de firewall 3001 y 27017, rotar todas las claves API de LLM, auditar el almacén de patrones de AgentDB para detectar entradas inyectadas de agentdb_pattern-store y verificar MongoDB para detectar signos de manipulación.
«La vulnerabilidad de Ruflo permitió crear un enjambre de agentes para hacer lo que el atacante quisiera e incluso alterar la memoria de la IA», dijo Noma. «La capacidad de escribir instrucciones maliciosas en la memoria persistente de IA de una plataforma significa que un atacante puede influir en las respuestas que la IA da a cada futuro usuario de la plataforma, mucho después de que la intrusión original haya terminado».
«Para las organizaciones expuestas a una vulnerabilidad como esta, la remediación requiere más que una actualización de software. Las credenciales del proveedor de IA deben tratarse como comprometidas y rotarse, la memoria de IA de la plataforma debe auditarse para detectar manipulación y los contenedores deben reconstruirse a partir de una imagen limpia».
