Ruflo Rentan Diretas, API Key hingga Memori AI Terancam Bocor

Perkembangan teknologi kecerdasan buatan (Artificial Intelligence/AI) yang semakin mengandalkan agen otonom (AI agent) juga menghadirkan tantangan baru di bidang keamanan siber. Sebuah kerentanan dengan tingkat keparahan tertinggi baru-baru ini ditemukan pada Ruflo, platform orkestrasi AI open source yang digunakan untuk mengelola berbagai agen AI secara bersamaan. Celah ini memungkinkan penyerang mengambil alih sistem tanpa perlu melalui proses autentikasi.

Kerentanan tersebut terdaftar dengan kode CVE-2026-59726 dan memperoleh skor CVSS 10.0, skor tertinggi dalam sistem penilaian kerentanan keamanan. Tim peneliti Noma Labs dari Noma Security menamai celah ini RufRoot karena memberikan akses yang sangat luas kepada penyerang, mulai dari menjalankan perintah di server hingga memanipulasi memori AI yang digunakan platform.

Temuan ini menjadi pengingat bahwa keamanan infrastruktur AI tidak hanya bergantung pada Large Language Model (LLM), tetapi juga pada platform yang menghubungkan, mengelola, dan mengoordinasikan berbagai agen AI di balik layar.

Ruflo dan Perannya dalam Ekosistem AI

Ruflo, yang sebelumnya dikenal sebagai Claude Flow, merupakan platform orkestrasi multi-agen AI (multi-agent orchestration platform). Platform ini dirancang untuk membantu pengembang menjalankan sekumpulan agen AI (AI swarms), mengotomatisasi alur kerja, serta membangun sistem AI percakapan yang kompleks.

Ruflo mendukung integrasi dengan layanan seperti Anthropic Claude Code dan OpenAI Codex, sehingga banyak dimanfaatkan untuk membangun aplikasi berbasis AI yang mampu menjalankan berbagai tugas secara otomatis.

Popularitas proyek ini juga tergolong tinggi. Hingga saat ini, repositori Ruflo telah memperoleh lebih dari 66.500 bintang (stars) di GitHub, menandakan tingginya minat komunitas pengembang terhadap platform tersebut.

Namun, di balik fleksibilitasnya, peneliti menemukan adanya kelemahan konfigurasi yang membuka akses langsung ke berbagai fungsi penting tanpa perlindungan autentikasi.

Kesalahan Konfigurasi Membuka Ratusan Fungsi Sensitif

Menurut hasil penelitian Noma Labs, akar permasalahan berasal dari konfigurasi bawaan Ruflo yang mengekspos 233 tools melalui Model Context Protocol (MCP) Bridge. Tools tersebut memiliki hak akses yang sangat tinggi karena mampu melakukan berbagai operasi penting, antara lain:

• Menjalankan perintah shell pada sistem operasi.
• Mengakses dan mengubah basis data.
• Mengelola agen AI.
• Membaca maupun menyimpan memori AI.

Masalah muncul karena file  docker-compose.yml secara default menghubungkan port 3001 ke alamat 0.0.0.0, sehingga layanan MCP dapat diakses dari seluruh antarmuka jaringan.

Dalam kondisi seperti ini, apabila server dapat dijangkau melalui jaringan dan tidak dilindungi firewall maupun segmentasi jaringan yang memadai, maka siapa pun dapat mencoba mengeksploitasi layanan tersebut tanpa harus melakukan login.

Dengan kata lain, keamanan sistem bergantung sepenuhnya pada konfigurasi jaringan. Jika layanan terbuka ke internet atau jaringan publik, maka risiko kompromi menjadi sangat tinggi.

Hanya Satu Permintaan HTTP untuk Mengambil Alih Server

Peneliti keamanan Eli Ainhorn mengungkapkan bahwa eksploitasi kerentanan ini sangat sederhana. Penyerang hanya perlu mengirimkan satu permintaan HTTP POST ke endpoint MCP pada port 3001. Tanpa autentikasi apa pun, server kemudian akan memproses permintaan tersebut dan memberikan akses untuk menjalankan perintah sistem (remote code execution).

Kemudahan eksploitasi inilah yang membuat kerentanan tersebut memperoleh skor CVSS maksimum. Setelah berhasil memperoleh akses shell, penyerang dapat menjalankan hampir semua aktivitas yang tersedia di dalam lingkungan Ruflo.

Risiko Tidak Hanya pada Server, tetapi Juga Seluruh Ekosistem AI

Kerentanan RufRoot jauh lebih berbahaya dibandingkan serangan RCE biasa karena targetnya bukan sekadar sistem operasi, melainkan seluruh ekosistem AI yang berjalan di atas platform tersebut.

Penyerang dapat mencuri API key yang digunakan Ruflo untuk berkomunikasi dengan berbagai penyedia model bahasa besar (LLM). Dengan API key tersebut, pelaku dapat menggunakan layanan AI atas nama korban atau bahkan membuat biaya penggunaan layanan meningkat tanpa sepengetahuan pemilik akun.

Selain itu, seluruh percakapan pengguna yang tersimpan dalam platform juga dapat diakses oleh penyerang.

Yang lebih mengkhawatirkan lagi, penyerang mampu mengubah memori AI sehingga sistem mulai memberikan respons yang telah dimanipulasi. Teknik ini dikenal sebagai AI Memory Poisoning, yaitu memasukkan informasi atau instruksi berbahaya ke dalam memori jangka panjang AI agar memengaruhi jawaban AI pada interaksi berikutnya.

Artinya, dampak serangan tidak berhenti ketika penyerang meninggalkan sistem. Manipulasi terhadap memori AI dapat terus memengaruhi respons AI kepada pengguna lain dalam jangka waktu yang lama.

Penyerang Dapat Menanam Backdoor Permanen

Berdasarkan deskripsi pada National Vulnerability Database (NVD) milik NIST, konfigurasi Ruflo sebelum versi 3.16.3 mengekspos endpoint POST /mcp dan POST /mcp/:group tanpa autentikasi.

Melalui endpoint tersebut, penyerang dapat memanggil fungsi tools/call menuju terminal_execute, memperoleh shell di dalam kontainer, membaca API key penyedia AI, hingga memodifikasi pola pembelajaran yang digunakan AgentDB.

Tidak hanya itu, penyerang juga dapat menanamkan backdoor permanen dengan menyimpan payload berbahaya pada direktori /app. Backdoor tersebut memungkinkan akses kembali ke sistem meskipun eksploitasi awal telah selesai dilakukan.

Dalam praktiknya, akses tersebut juga dapat dimanfaatkan untuk membuat kelompok agen AI (AI swarm) yang sepenuhnya dikendalikan penyerang menggunakan kredensial milik korban.

Pengembang Merilis Perbaikan dalam Waktu Kurang dari Sehari

Setelah menerima laporan melalui mekanisme responsible disclosure pada 30 Juni 2026, pengelola proyek Ruflo, Reuven Cohen, bergerak cepat dengan merilis pembaruan keamanan dalam waktu kurang dari 24 jam.

Versi 3.16.3 menghadirkan sejumlah perubahan penting untuk menutup celah tersebut.

Kini MCP Bridge secara default hanya berjalan pada loopback interface, sehingga tidak lagi dapat diakses dari jaringan eksternal.

Selain itu, fungsi terminal_execute kini dilindungi menggunakan kontrol executeTool di sisi server agar tidak bisa dipanggil secara sembarangan. Pembaruan tersebut juga mengaktifkan autentikasi MongoDB sehingga data percakapan pengguna tidak lagi dapat diakses secara bebas apabila server berhasil ditembus.

Berbagai lapisan keamanan tambahan juga diterapkan guna membatasi akses tidak sah terhadap layanan internal Ruflo.

Organisasi Disarankan Segera Melakukan Mitigasi

Noma Security menegaskan bahwa organisasi yang masih menjalankan Ruflo versi lama harus segera melakukan langkah mitigasi. Langkah pertama adalah menutup akses ke port 3001 dan 27017 dari jaringan publik menggunakan firewall atau mekanisme pembatasan akses lainnya.

Selanjutnya, seluruh API key yang digunakan untuk mengakses layanan LLM harus segera diganti karena dianggap telah berpotensi bocor. Administrator juga perlu melakukan audit terhadap AgentDB untuk memastikan tidak ada pola pembelajaran yang telah dimodifikasi oleh pihak tidak bertanggung jawab.

Selain itu, basis data MongoDB perlu diperiksa secara menyeluruh guna memastikan tidak terjadi manipulasi data maupun penyisipan payload berbahaya.

Sebagai langkah pencegahan tambahan, seluruh kontainer yang sebelumnya menjalankan Ruflo versi rentan sebaiknya dibangun ulang (rebuild) menggunakan image yang bersih agar tidak menyisakan backdoor atau malware yang mungkin telah ditanamkan selama proses kompromi.

Ancaman Baru bagi Keamanan AI Modern

Kasus RufRoot menunjukkan bahwa ancaman terhadap sistem AI kini tidak lagi terbatas pada pencurian data atau eksploitasi aplikasi web konvensional. Infrastruktur yang mengelola agen AI dan memori AI juga menjadi target bernilai tinggi bagi pelaku kejahatan siber.

Kemampuan untuk memanipulasi memori AI merupakan dimensi baru dalam dunia keamanan siber karena memungkinkan penyerang memengaruhi perilaku AI secara berkelanjutan, bahkan setelah akses awal berhasil ditutup.

Oleh karena itu, organisasi yang mulai mengadopsi platform AI berbasis agen perlu menerapkan prinsip secure by default, membatasi layanan internal agar tidak dapat diakses dari jaringan publik, melakukan rotasi kredensial secara berkala, serta mengaudit memori dan basis pengetahuan AI sebagai bagian dari prosedur keamanan rutin. Dengan semakin luasnya penggunaan AI dalam berbagai sektor, perlindungan terhadap infrastruktur pendukung AI menjadi sama pentingnya dengan melindungi model AI itu sendiri.