AIエージェント基盤Rufloに最大深刻度の脆弱性
- AnthropicのClaude CodeやOpenAI Codex向け基盤Rufloに最大深刻度の脆弱性CVE-2026-59726(CVSS 10.0)。
- MCP(AIが外部ツールと連携する仕組み)ブリッジが認証なしでネットワークに公開され、遠隔コマンド実行が可能だった。
- APIキー窃取や会話履歴の読み取り、AIの永続メモリへの汚染も許す。24時間以内に修正版3.16.3が公開された。
かんたんに言うと
AIエージェントを動かすための土台ソフト「Ruflo」に、パスワードなしで外部から乗っ取れる欠陥が見つかった。使っている企業は今すぐ修正版に更新し、関連するAPIキーを交換する必要がある。
AIセキュリティとの関連: MCP対応AIエージェント基盤の未認証RCEとAIメモリ汚染を許す欠陥で、AIエージェント運用企業全般に警鐘となる事例
何が起きたか
セキュリティ企業Noma Securityの研究チームは、オープンソースのAIマルチエージェント基盤「Ruflo」(旧Claude Flow、GitHubスター数66,500超)に最大深刻度の脆弱性を発見したと報告した。CVE-2026-59726(CVSS 10.0)として登録され、3.16.3より前の全バージョンが影響を受ける。原因は、AIがツールを呼び出す際に使うMCP(Model Context Protocol、AIモデルと外部システムを橋渡しする規格)ブリッジが、デフォルト設定で認証なしにネットワーク全体へ公開されていたこと。付属のDocker Compose設定ファイルがポート3001を全インターフェース(0.0.0.0)に紐付けていたため、外部から到達可能な環境では認証情報なしに攻撃が成立した。研究者によれば、単純なHTTP POSTリクエスト一つでシェルコマンド実行(terminal_execute)を呼び出し、遠隔コード実行が可能だったという。6月30日の報告を受け、開発者は24時間以内に修正版3.16.3を公開した。
誰に・どう影響するか
中小企業では、Rufloのようなオープンソース基盤を検証環境や自社サービスに組み込んでいる場合、意識せずポートを外部公開してしまっているケースが想定される。特にAPIキーの管理体制が弱いと、LLM(大規模言語モデル)利用料の不正利用や情報漏えいにつながる。大企業では、複数部署や外部委託先がRufloベースの仕組みを個別に導入している「シャドーAI」的な状況があれば、把握漏れが被害拡大の要因になる。加えて、AIの永続メモリに悪意ある指示が書き込まれると、侵入後も長期間にわたり誤った、あるいは悪意ある応答を返し続けるリスクがある点は両者に共通する。
今すぐやるべきアクション
- Rufloを3.16.3以上に更新する
- ポート3001および27017(MongoDB)への外部からのアクセスを即時遮断する
- LLMプロバイダーのAPIキーを全て失効・再発行する
- AgentDBの学習パターンストアに不審な書き込みがないか監査する
- MongoDBのデータに改ざんの痕跡がないか確認する
- 侵害の疑いがある場合はコンテナをクリーンな状態から再構築する
重大度の判定理由
重大度「緊急」: CVSS10.0の未認証RCE、デフォルト設定で公開状態、AIメモリ汚染も可能なため即対応が必要