Varonis zjistil, že tyto Code Blocky postrádaly řádnou izolaci mezi jednotlivými agenty . Útočný řetězec probíhal následovně:

1. Útočník, který již měl oprávnění dialogflow.playbooks.update na jednom agentovi s Code Blocky, mohl vytvořit škodlivý import playbooku .
2. Tento škodlivý playbook vložil trvalý Python kód do sdíleného běhového prostředí Code Blocků .
3. Protože stejné základní běhové prostředí obsluhovalo více agentů v rámci stejného projektu Google Cloud, útočníkův kód se pak spouštěl uvnitř ostatních agentů – těch, ke kterým útočník původně neměl přístup .

CVE-2026-4764 popisuje hlavní příčinu: chybějící autorizační kontrolu ve funkci importu playbooků . Zranitelnost má skóre CVSS 9,4, což ji řadí mezi kritická bezpečnostní rizika .

Co mohl útočník dělat

Jakmile škodlivý kód běžel uvnitř napadeného agenta, útočník mohl :

• Číst živé konverzace – potichu sledovat interakce uživatelů s jakýmkoli kompromitovaným chatbotem, včetně chatů zákaznické podpory, finančních botů a dialogů zdravotních asistentů.
• Vydávat se za bota – posílat zprávy napsané útočníkem, aby uživatele přiměl ke sdílení hesel, pojistných informací, finančních údajů nebo jiných citlivých údajů .
• Křížový útok na agenty – přesunout se z jednoho kompromitovaného agenta na všechny ostatní agenty s Code Blocky ve stejném projektu, čímž došlo k eskalaci oprávnění z nízko-privilegované role na téměř projektovou kontrolu .

Časový odhalení a opravy

• Listopad 2025 – Varonis poprvé objevil problém .
• 15. března 2026 – Google opravil zranitelnost chybějící autorizace (CVE-2026-4764) v koncovém bodě importu playbooků .
• Duben 2026 – Google vydal "první bezpečnostní aktualizaci", která problém zcela nevyřešila .
• Červen 2026 – Google zcela vyřešil problém druhou záplatou .

Google potvrdil, že zákazníci nemuseli pro aplikaci záplat podnikat žádné kroky .

Další odhalené slabiny

Varonis identifikoval, že izolace mezi agenty sdílejícími běhové prostředí Code Blocků byla zásadně nedostatečná . I po opravě autorizace importu samotná architektura umožňovala spouštění kódu napříč agenty, pokud byl jeden z nich kompromitován – šlo o problém na úrovni návrhu, který si vyžádal druhou záplatu v červnu 2026.

Google také přidal nastavení bezpečnostní kontroly promptů v konfiguraci agenta, které pomáhá detekovat a blokovat útoky typu prompt injection, jež by mohly být součástí podobných útočných řetězců v budoucnosti .

Byla chyba zneužita?

Neexistují žádné důkazy o tom, že by byla zranitelnost před opravou zneužita . Mluvčí Google Cloud potvrdil: "Nemáme žádné známé indikace kompromitace zákazníků. Není vyžadována žádná akce ze strany zákazníků."

Důsledky pro bezpečnost AI

Zranitelnost Rogue Agent je jasným varováním, že bezpečnostní modely mnoha platforem pro AI agenty ještě nedohnaly složitost víceuživatelských prostředí spouštějících vlastní kód. S tím, jak více firem nasazuje konverzační AI agenty schopné spouštět vlastní kód, se útočná plocha sdíleného běhového prostředí stává kritickým problémem.

Organizace používající Dialogflow CX by měly zkontrolovat, zda jsou povoleny bezpečnostní kontroly promptů a auditovat, které identity mají oprávnění dialogflow.playbooks.update – jediné oprávnění, které mohlo spustit tento útočný řetězec .

Varonis zjistil, že tyto Code Blocky postrádaly řádnou izolaci mezi jednotlivými agenty . Útočný řetězec probíhal následovně:

1. Útočník, který již měl oprávnění dialogflow.playbooks.update na jednom agentovi s Code Blocky, mohl vytvořit škodlivý import playbooku .
2. Tento škodlivý playbook vložil trvalý Python kód do sdíleného běhového prostředí Code Blocků .
3. Protože stejné základní běhové prostředí obsluhovalo více agentů v rámci stejného projektu Google Cloud, útočníkův kód se pak spouštěl uvnitř ostatních agentů – těch, ke kterým útočník původně neměl přístup .

CVE-2026-4764 popisuje hlavní příčinu: chybějící autorizační kontrolu ve funkci importu playbooků . Zranitelnost má skóre CVSS 9,4, což ji řadí mezi kritická bezpečnostní rizika .

Co mohl útočník dělat

Jakmile škodlivý kód běžel uvnitř napadeného agenta, útočník mohl :

• Číst živé konverzace – potichu sledovat interakce uživatelů s jakýmkoli kompromitovaným chatbotem, včetně chatů zákaznické podpory, finančních botů a dialogů zdravotních asistentů.
• Vydávat se za bota – posílat zprávy napsané útočníkem, aby uživatele přiměl ke sdílení hesel, pojistných informací, finančních údajů nebo jiných citlivých údajů .
• Křížový útok na agenty – přesunout se z jednoho kompromitovaného agenta na všechny ostatní agenty s Code Blocky ve stejném projektu, čímž došlo k eskalaci oprávnění z nízko-privilegované role na téměř projektovou kontrolu .

Časový odhalení a opravy

• Listopad 2025 – Varonis poprvé objevil problém .
• 15. března 2026 – Google opravil zranitelnost chybějící autorizace (CVE-2026-4764) v koncovém bodě importu playbooků .
• Duben 2026 – Google vydal "první bezpečnostní aktualizaci", která problém zcela nevyřešila .
• Červen 2026 – Google zcela vyřešil problém druhou záplatou .

Google potvrdil, že zákazníci nemuseli pro aplikaci záplat podnikat žádné kroky .

Další odhalené slabiny

Varonis identifikoval, že izolace mezi agenty sdílejícími běhové prostředí Code Blocků byla zásadně nedostatečná . I po opravě autorizace importu samotná architektura umožňovala spouštění kódu napříč agenty, pokud byl jeden z nich kompromitován – šlo o problém na úrovni návrhu, který si vyžádal druhou záplatu v červnu 2026.

Google také přidal nastavení bezpečnostní kontroly promptů v konfiguraci agenta, které pomáhá detekovat a blokovat útoky typu prompt injection, jež by mohly být součástí podobných útočných řetězců v budoucnosti .

Byla chyba zneužita?

Neexistují žádné důkazy o tom, že by byla zranitelnost před opravou zneužita . Mluvčí Google Cloud potvrdil: "Nemáme žádné známé indikace kompromitace zákazníků. Není vyžadována žádná akce ze strany zákazníků."

Důsledky pro bezpečnost AI

Zranitelnost Rogue Agent je jasným varováním, že bezpečnostní modely mnoha platforem pro AI agenty ještě nedohnaly složitost víceuživatelských prostředí spouštějících vlastní kód. S tím, jak více firem nasazuje konverzační AI agenty schopné spouštět vlastní kód, se útočná plocha sdíleného běhového prostředí stává kritickým problémem.

Organizace používající Dialogflow CX by měly zkontrolovat, zda jsou povoleny bezpečnostní kontroly promptů a auditovat, které identity mají oprávnění dialogflow.playbooks.update – jediné oprávnění, které mohlo spustit tento útočný řetězec .