Rogue Agent: Sårbarhed i Googles Dialogflow CX kunne lade angribere overtage AI-agenter

En kritisk sårbarhedskæde i Googles Cloud-platform Dialogflow CX, kaldet Rogue Agent, kunne have tilladt en angriber med kun redigeringsrettigheder på én enkelt chatbot-agent at kapre samtaler, stjæle følsomme data og kompromittere alle andre AI-agenter i det samme cloudprojekt.

Sikkerhedsfirmaet Varonis Threat Labs opdagede fejlen i slutningen af 2025 og samarbejdede med Google om at lappe den, før der blev rapporteret om udnyttelse. Her er, hvad der skete, hvordan det fungerede, og hvad det betyder for sikkerheden af multi-agent AI-systemer.

Sådan fungerede Rogue Agent-sårbarheden

Dialogflow CX er Googles Cloud-platform til at bygge samtale-AI-agenter, som chatbots og stemmeassistenter, der bruges af virksomheder til kundesupport, finansielle tjenester og sundhedspleje . En central funktion er Playbooks, som lader udviklere styre agentens adfærd ved at tilføje inline Code Blocks – stykker Python-kode, der køres inde i agentens pipeline .

Varonis opdagede, at disse Code Blocks manglede tilstrækkelig isolation mellem agenter . Angrebskæden fungerede som følger:

1. En angriber, der allerede havde dialogflow.playbooks.update-tilladelsen på én Code Block-aktiveret agent, kunne skabe en ondsindet playbook-import .
2. Den ondsindede playbook injicerede vedvarende Python-kode i det delte runtime-miljø for Code Blocks .
3. Fordi det samme underliggende eksekveringsmiljø betjente flere agenter i det samme Google Cloud-projekt, ville angriberens kode derefter køre inde i andre agenter – agenter som angriberen oprindeligt ikke havde adgang til .

CVE-2026-4764 beskriver den grundlæggende årsag: en manglende autorisationskontrol i playbook-importfunktionaliteten . Sårbarheden har en CVSS-score på 9,4, hvilket markerer den som en kritisk sikkerhedsrisiko .

Hvad en angriber kunne gøre

Når den ondsindede kode først kørte inde i en offer-agent, kunne angriberen :

• Aflæse samtaler i realtid – stille og roligt overvåge brugernes interaktioner med kompromitterede chatbots, inklusive kundesupport-chats, finansielle botsessioner og sundhedsassistent-dialoger.
• Efterligne chatbot'en – sende beskeder skrevet af angriberen for at narre brugere til at afgive adgangskoder, forsikringsoplysninger, finansielle data eller andre følsomme detaljer .
• Spredning på tværs af agenter – bevæge sig fra én kompromitteret agent til alle andre Code Block-aktiverede agenter i samme projekt, hvilket eskalerer fra en lav-privilegie rolle til næsten projekt-dækkende kontrol .

Tidslinje for afsløring og rettelse

• November 2025 – Varonis opdagede oprindeligt problemet .
• 15. marts 2026 – Google rettede autorisationsfejlen (CVE-2026-4764) i playbook-importen .
• April 2026 – Google udsendte en "første sikkerhedsopdatering", som dog ikke løste problemet fuldstændigt .
• Juni 2026 – Google løste problemet fuldstændigt med en anden patch .

Google bekræftede, at der ikke var behov for nogen handling fra kundernes side .

Yderligere svagheder afsløret

Varonis påpegede, at isolationen mellem agenter, der deler Code Block-runtimes, var fundamentalt utilstrækkelig . Selv efter at import-autorisationen blev rettet, tillod arkitekturen stadig kørsel af kode på tværs af agenter, hvis én enkelt agent blev kompromitteret – et designproblem, som krævede den anden patch i juni 2026 for at blive fuldt løst.

Google tilføjede også en prompt-sikkerhedstjek-indstilling i agentkonfigurationen for at hjælpe med at opdage og blokere prompt-injektionsangreb, der kunne bruges som en del af lignende udnyttelseskæder i fremtiden .

Blev sårbarheden nogensinde udnyttet?

Der er ingen tegn på, at sårbarheden nogensinde blev udnyttet i praksis før rettelsen . En talsperson for Google Cloud bekræftede: "Vi har ingen kendte indikationer på, at kunder er kompromitteret. Der kræves ingen handling fra kundernes side."

Implikationer for AI-sikkerhed

Rogue Agent-sårbarheden er en skarp påmindelse om, at sikkerhedsmodellerne bag mange AI-platforme endnu ikke har indhentet kompleksiteten af multi-tenant, kodeeksekverende miljøer. Efterhånden som flere virksomheder implementerer samtale-AI-agenter, der kan køre brugerdefineret kode, bliver angrebsfladen via delte kørselsmiljøer et kritisk problem.

Organisationer, der bruger Dialogflow CX, bør kontrollere, at prompt-sikkerhedstjek er aktiveret , og revidere hvilke identiteter der har dialogflow.playbooks.update-tilladelser – den enkelte tilladelse, der kunne have startet denne angrebskæde .