Il patch non basta: Ruflo può restare corrotto dopo la correzione
Il problema non è solo l’RCE senza login nel deployment predefinito. In Ruflo, chi entra nel bridge MCP può anche alterare la memoria dell’agente e lasciare istruzioni malevole che continuano a influenzare il comportamento dopo la patch; il classico aggiornare e ripartire non chiude tutto il perimetro.
Le fonti indicano che il default docker-compose esponeva il bridge MCP su rete, con gli endpoint /mcp aperti senza autenticazione. Da lì era possibile ottenere shell, leggere le API key dei provider, vedere le conversazioni salvate e avvelenare l’AgentDB; la correzione è in Ruflo 3.16.3.
Per chi usa piattaforme di agent orchestration con tool bridge raggiungibili in rete, il punto non è solo correggere il bug. Se sono passate credenziali o memoria di apprendimento, vanno considerati compromessi anche dopo l’aggiornamento.