Rufloの致命的欠陥、AIの“記憶”まで汚染できる話
AIエージェント系のツールは、便利な反面、ひとたび入口を開けっぱなしにするとかなり危うい。今回The Hacker Newsが伝えたのは、オープンソースのAIオーケストレーション基盤「Ruflo」に見つかった、かなり派手な脆弱性だ。ざっくり言えば、認証なしで外部からコマンド実行できてしまううえに、AIの会話ログや“記憶”まで触れてしまう可能性があった。 この手の話は、単に「サーバーが乗っ取られる」で終わらないところが今どきらしい。AIの裏側にあるAPIキー、ユーザーとの会話、学習用のメモリまで狙える。攻撃者にとっては、かなりおいしいセットだと思う。 RufloにCVE-2026-59726という脆弱性が見つかった 深刻度はCVSS 10.0で、ほぼ満点の危険レベル 認証なしでMCP bridgeにアクセスでき、コマンド実行につながった 影響を受けるのは3.16.3より前の全バージョン 攻撃されると、RCE（遠隔からのコード実行）、LLMのAPIキー窃取、会話ログの閲覧、AIメモリの汚染が起こり得た 修正版は
papoo.work