Ruflo’daki Kritik Açık: Yapay Zeka Ajanları Nasıl Ele Geçirilir?

Açık kaynak yapay zeka ajanı platformu Ruflo’da keşfedilen kritik bir güvenlik açığı, kurumsal yapay zeka ortamlarının ciddi bir tehdit altında olduğunu ortaya koydu. Noma Security araştırmacıları tarafından detaylandırılan bu Ruflo güvenlik açığı, kimlik doğrulaması gerektirmeyen saldırganların, Model Bağlam Protokolü (MCP) köprüsü üzerinden sistemlere tam erişim sağlamasına olanak tanıyor. Güvenlik zafiyeti, yapay zeka ajanlarının işletmelerin temel sistemleriyle etkileşim kurmasını sağlayan kritik bir noktayı hedef alarak, yetkisiz kod çalıştırma, kimlik bilgisi çalma ve hatta yapay zeka belleğini manipüle etme riskini beraberinde getiriyor.

Ruflo ve Yapay Zeka Ajanlarının Kalbi: MCP Köprüsü

Ruflo, yapay zeka ajanlarının kurumsal sistemlerle entegrasyonunu kolaylaştıran açık kaynaklı bir platform olarak öne çıkıyor. Ancak platformun temelini oluşturan Model Bağlam Protokolü (MCP) Köprüsü, tahmin edilenden çok daha kritik bir güvenlik zafiyetine sahip. Araştırmacılar, bu köprünün Ruflo’nun ‘merkezi sinir sistemi’ gibi çalıştığını, her bir araç çağrısı, ajan eylemi ve bellek operasyonunun bu köprü üzerinden geçtiğini belirtiyor. Varsayılan olarak kimlik doğrulaması olmadan dışa açık olması, saldırganların platformun tüm operasyonlarına sınırsız erişim elde etmesi anlamına geliyor.

Bu durum, yapay zeka sistemlerinin karmaşık yapısı içinde, geleneksel güvenlik yaklaşımlarının yeterince kapsayıcı olamayabileceğini gösteriyor. MCP Köprüsü, temel sistem kaynaklarına doğrudan erişim gerektiren araçları işlediği için yüksek riskli bir güvenlik sınırı oluşturuyor. Bir saldırganın bu uç noktaya kimlik doğrulaması olmadan ulaşabilmesi, altyapıya doğrudan bir erişim hattı kurmasıyla eşdeğer. Bu, yalnızca Ruflo’ya özgü bir problem olmanın ötesinde, yapay zeka orkestrasyon platformlarının genel tasarım felsefelerindeki potansiyel güvenlik boşluklarına da dikkat çekiyor.

RufRoot: Kimlik Doğrulamasız Tam Kontrol

CVE-2026-59726 koduyla izlenen ve ‘RufRoot’ adı verilen bu güvenlik açığı, 10.0 gibi maksimum bir CVSS puanına sahip. Bu, zafiyetin son derece kritik olduğunu ve ciddi sonuçlar doğurabileceğini gösteriyor. Ruflo’nun 3.16.3 öncesi tüm sürümlerini etkileyen bu açık, tek bir HTTP isteğiyle bile kapsamlı bir ihlale yol açabiliyor. Saldırganlar, bu yöntemle rastgele kod yürütebilir, büyük dil modeli (LLM) API anahtarlarını çalabilir, kullanıcı konuşmalarına erişebilir ve yapay zeka ajanlarını tamamen ele geçirebilirler.

Ayrıca, RufRoot zafiyeti, platformun kalıcı yapay zeka belleğini manipüle etme imkanı sunuyor. Bu ‘yapay zeka belleği zehirlenmesi’ olarak tanımlanan durum, gelecekteki yapay zeka yanıtlarına saldırgan kontrolündeki talimatların dahil edilmesini sağlıyor. Noma Security araştırmacıları, bu güvenlik açığının AWS EC2 üzerinde çalışan varsayılan bir Ruflo dağıtımına karşı tüm saldırı zinciri aşamalarını başarıyla doğruladıklarını belirtiyorlar. Bu durum, pratik dünyadaki riskin ne kadar gerçek olduğunu gözler önüne seriyor.

Tek Bir İstekle Kurumsal Sistemlere Erişim

Ruflo’nun yerleşik MCP Köprüsü, Express.js sunucusu üzerinde çalışıyor ve yapay zeka ajanları tarafından yapılan her araç çağrısını yönetiyor. Bu köprü, kabuk erişimi, veritabanı operasyonları, ajan yönetimi ve bellek depolama gibi tam 233 farklı aracı dışa vuruyor. Araştırmacılar, köprünün /mcp uç noktasının araç çağrılarını kimlik doğrulaması olmadan kabul ettiğini gösterdi. Kavram kanıtlama gösteriminde, Ruflo’nun terminal_execute aracı kullanılarak tek bir HTTP isteğiyle konteyner içinde komut yürütme yeteneği elde edildi.

Bu, saldırganların LLM sağlayıcı API anahtarlarını ortam değişkenlerinden çalmasına, saldırgan kontrolündeki yapay zeka ajan sürülerini dağıtmasına ve MongoDB’de depolanan kullanıcı konuşmalarını ele geçirmesine olanak tanıdı. Dahası, araştırmacılar sistemde kalıcılık sağlamanın yollarını da keşfettiler. Bellek zehirlenmesi senaryosunda ise, Ruflo’nun AgentDB model deposuna kötü niyetli girdiler eklenerek, yapay zekanın gelecekteki yanıtlarını manipüle edecek talimatların yerleştirilebildiği kanıtlandı. Bu kadar geniş bir araç setine ve kritik verilere kimlik doğrulaması olmadan erişim sağlanabilmesi, kurumsal ağlar için kabul edilemez bir risktir.

Sektör İçin Kapsamlı Bir Güvenlik Sınavı

Ruflo’daki bu özel kimlik doğrulama açığına rağmen, ortaya çıkan araştırma sonuçları yapay zeka orkestrasyon platformları ve MCP altyapısı etrafındaki daha geniş güvenlik risklerini de işaret ediyor. Kanerika’nın Yapay Zeka Geliştirme Yöneticisi Amit Jena, MCP benimseme hızının, birçok orkestrasyon aracının varsayılan güvenlik önlemlerini geride bıraktığını belirtiyor. Jena, bu platformların hızlı bir şekilde piyasaya sürüldüğünü, kurulum kolaylığına öncelik verildiğini ve ağ sınırının sistemleri koruyacağı varsayımının yaygın olduğunu ekliyor. Ancak araç, kurumsal ağdan erişilebilir bir sunucuya yerleştirildiğinde bu varsayımın çöktüğünü vurguluyor.

Yapay zeka belleği zehirlenmesi problemi ise ürün özelinde değil, platformdan bağımsız bir güvenlik kaygısı olarak öne çıkıyor. Jena’ya göre, ajanlara kalıcı, yazılabilir bir bellek deposu sağlayan herhangi bir platformun bu depoyu bir güvenlik sınırı olarak ele alması gerekiyor. Hangi aktörlerin belleğe yazabildiği ve sistem tarafından oluşturulan bellek ile saldırgan tarafından yerleştirilen belleğin ayırt edilip edilemediği soruları, şu anda çoğu platformda yeterince ele alınmıyor. Bu durum, gelecekteki yapay zeka sistemleri için tasarımdan itibaren güvenliğin düşünülmesi gerektiğinin altını çiziyor.

Yapay Zeka Ortamlarınızı Kötü Niyetli Tehditlerden Koruma

Ruflo gibi platformları kullanan veya benzer yapay zeka orkestrasyon araçlarına yatırım yapmayı düşünen kuruluşlar için atılması gereken adımlar hayati önem taşıyor. Öncelikle, Ruflo kullanıcılarının acilen 3.16.3 veya daha yeni sürümlere güncelleme yapması zorunludur. Bu, bilinen RufRoot açığının doğrudan kapatılması anlamına gelir. Ancak güncelleme tek başına yeterli değildir; MCP Köprüsü gibi kritik arayüzlerin ağ üzerinden yetkisiz erişime kapalı olduğundan emin olmak için ek güvenlik önlemleri alınmalıdır.

Kurumsal ağ mimarisi içerisinde, bu tür hassas hizmetlerin izolasyonu ve erişim kontrollerinin sıkılaştırılması gerekir. Kimlik doğrulama ve yetkilendirme mekanizmaları, varsayılan olarak açık bırakılmamalı, katı güvenlik politikaları uygulanmalıdır. Ayrıca, yapay zeka ajanlarının kalıcı bellek depolama alanları, ayrı bir güvenlik sınırı olarak değerlendirilmeli ve bu belleğe yazma yetkileri sıkı bir şekilde denetlenmelidir. Sistem tarafından oluşturulan bellek ile harici girdilerin ayırt edilmesi için mekanizmalar geliştirilmesi, yapay zeka zehirlenmesi riskini minimize etme potansiyeli taşır. Periyodik güvenlik denetimleri ve sızma testleri, bu tür platformlardaki potansiyel zafiyetleri erkenden tespit etmek için kritik bir rol oynayacaktır.