Jak kritická chyba v Dialogflow CX proměnila AI agenty v hrozbu

Kritický řetězec zranitelností v platformě Google Cloud Dialogflow CX, pojmenovaný Rogue Agent, umožnil útočníkovi s pouhým editačním oprávněním na jediném chatbotovi potichu unášet konverzace, krást citlivá data a kompromitovat všechny ostatní AI agenty ve stejném cloudovém projektu.

Bezpečnostní tým Varonis Threat Labs objevil tuto chybu koncem roku 2025 a spolupracoval s Googlem na její opravě dříve, než by mohla být zneužita. Zde je popis problému, jeho fungování a důsledky pro bezpečnost multi-agentních AI systémů.

Jak zranitelnost Rogue Agent fungovala

Dialogflow CX je vlajková loď Google Cloud pro tvorbu konverzačních AI agentů – chatbotů a hlasových asistentů, které firmy používají pro zákaznickou podporu, finanční služby a zdravotnictví . Klíčovou funkcí jsou Playbooky, které vývojářům umožňují řídit chování agenta pomocí vložených Code Block – úryvků Python kódu, které se spouštějí v rámci agentova pipeline .

Varonis zjistil, že tyto Code Blocky postrádaly řádnou izolaci mezi jednotlivými agenty . Útočný řetězec probíhal následovně:

1. Útočník, který již měl oprávnění dialogflow.playbooks.update na jednom agentovi s Code Blocky, mohl vytvořit škodlivý import playbooku .
2. Tento škodlivý playbook vložil trvalý Python kód do sdíleného běhového prostředí Code Blocků .
3. Protože stejné základní běhové prostředí obsluhovalo více agentů v rámci stejného projektu Google Cloud, útočníkův kód se pak spouštěl uvnitř ostatních agentů – těch, ke kterým útočník původně neměl přístup .

CVE-2026-4764 popisuje hlavní příčinu: chybějící autorizační kontrolu ve funkci importu playbooků . Zranitelnost má skóre CVSS 9,4, což ji řadí mezi kritická bezpečnostní rizika .

Co mohl útočník dělat

Jakmile škodlivý kód běžel uvnitř napadeného agenta, útočník mohl :

• Číst živé konverzace – potichu sledovat interakce uživatelů s jakýmkoli kompromitovaným chatbotem, včetně chatů zákaznické podpory, finančních botů a dialogů zdravotních asistentů.
• Vydávat se za bota – posílat zprávy napsané útočníkem, aby uživatele přiměl ke sdílení hesel, pojistných informací, finančních údajů nebo jiných citlivých údajů .
• Křížový útok na agenty – přesunout se z jednoho kompromitovaného agenta na všechny ostatní agenty s Code Blocky ve stejném projektu, čímž došlo k eskalaci oprávnění z nízko-privilegované role na téměř projektovou kontrolu .

Časový odhalení a opravy

• Listopad 2025 – Varonis poprvé objevil problém .
• 15. března 2026 – Google opravil zranitelnost chybějící autorizace (CVE-2026-4764) v koncovém bodě importu playbooků .
• Duben 2026 – Google vydal "první bezpečnostní aktualizaci", která problém zcela nevyřešila .
• Červen 2026 – Google zcela vyřešil problém druhou záplatou .

Google potvrdil, že zákazníci nemuseli pro aplikaci záplat podnikat žádné kroky .

Další odhalené slabiny

Varonis identifikoval, že izolace mezi agenty sdílejícími běhové prostředí Code Blocků byla zásadně nedostatečná . I po opravě autorizace importu samotná architektura umožňovala spouštění kódu napříč agenty, pokud byl jeden z nich kompromitován – šlo o problém na úrovni návrhu, který si vyžádal druhou záplatu v červnu 2026.

Google také přidal nastavení bezpečnostní kontroly promptů v konfiguraci agenta, které pomáhá detekovat a blokovat útoky typu prompt injection, jež by mohly být součástí podobných útočných řetězců v budoucnosti .

Byla chyba zneužita?

Neexistují žádné důkazy o tom, že by byla zranitelnost před opravou zneužita . Mluvčí Google Cloud potvrdil: "Nemáme žádné známé indikace kompromitace zákazníků. Není vyžadována žádná akce ze strany zákazníků."

Důsledky pro bezpečnost AI

Zranitelnost Rogue Agent je jasným varováním, že bezpečnostní modely mnoha platforem pro AI agenty ještě nedohnaly složitost víceuživatelských prostředí spouštějících vlastní kód. S tím, jak více firem nasazuje konverzační AI agenty schopné spouštět vlastní kód, se útočná plocha sdíleného běhového prostředí stává kritickým problémem.

Organizace používající Dialogflow CX by měly zkontrolovat, zda jsou povoleny bezpečnostní kontroly promptů a auditovat, které identity mají oprávnění dialogflow.playbooks.update – jediné oprávnění, které mohlo spustit tento útočný řetězec .