Rogue Agent: Wie eine kritische Dialogflow-CX-Lücke eine KI-Agenten-Entführung ermöglichte

Eine kritische Sicherheitslücke in Google Clouds Dialogflow CX, die den Namen Rogue Agent trägt, hätte es einem Angreifer mit lediglich Bearbeitungsrechten für einen einzigen Chatbot-Agenten ermöglichen können, heimlich Gespräche zu entführen, sensible Daten zu stehlen und jeden anderen KI-Agenten im selben Cloud-Projekt zu kompromittieren.

Das Sicherheitsunternehmen Varonis Threat Labs entdeckte den Fehler Ende 2025 und arbeitete mit Google zusammen, um ihn zu beheben, bevor es zu einer bekannten Ausnutzung kam. Hier erfahren Sie, was passiert ist, wie die Lücke funktionierte und was dies für die Sicherheit von Multi-Agenten-KI-Systemen bedeutet.

Wie die Rogue-Agent-Schwachstelle funktionierte

Dialogflow CX ist Googles führende Plattform für den Bau konversationeller KI-Agenten – Chatbots und Sprachassistenten, die von Unternehmen für den Kundensupport, Finanzdienstleistungen und im Gesundheitswesen eingesetzt werden . Ein zentrales Feature sind die sogenannten Playbooks, mit denen Entwickler das Verhalten eines Agenten steuern können, indem sie ihnen Code-Blöcke hinzufügen – kleine Python-Programme, die innerhalb der Agenten-Pipeline ausgeführt werden .

Varonis entdeckte, dass diese Code-Blöcke nicht ausreichend voneinander isoliert waren . Die Angriffskette lief wie folgt ab:

1. Ein Angreifer, der bereits über die Berechtigung dialogflow.playbooks.update für einen einzelnen Code-Block-fähigen Agenten verfügte, konnte einen manipulierten Playbook-Import erstellen .
2. Dieses manipulierte Playbook injizierte persistenten Python-Code in die gemeinsam genutzte Laufzeitumgebung der Code-Blöcke .
3. Da dieselbe zugrunde liegende Ausführungsumgebung für mehrere Agenten im selben Google-Cloud-Projekt verwendet wurde, wurde der Code des Angreifers dann innerhalb anderer Agenten ausgeführt – Agenten, auf die der Angreifer ursprünglich keinen Zugriff hatte .

CVE-2026-4764 beschreibt die eigentliche Ursache: eine fehlende Autorisierungsprüfung in der Playbook-Importfunktion . Die Schwachstelle hat einen CVSS-Score von 9,4 und wird als kritisches Sicherheitsrisiko eingestuft .

Was ein Angreifer tun konnte

Sobald der schädliche Code in einem Opfer-Agenten ausgeführt wurde, konnte der Angreifer Folgendes tun :

• Live-Gespräche mitlesen – die Echtzeit-Interaktionen von Nutzern mit jedem kompromittierten Chatbot heimlich überwachen, einschließlich Kundensupport-Chats, Finanzbot-Sitzungen und Dialogen mit Gesundheitsassistenten.
• Sich als der Chatbot ausgeben – vom Angreifer verfasste Nachrichten verschicken, um Nutzer zur Preisgabe von Passwörtern, Versicherungsinformationen, Finanzdaten oder anderen sensiblen Details zu verleiten .
• Agentenübergreifende Kompromittierung – von einem kompromittierten Agenten auf jeden anderen Code-Block-fähigen Agenten im selben Projekt zugreifen und so von einer niedrigen Berechtigungsstufe zu einer nahezu projektweiten Kontrolle aufsteigen .

Zeitplan der Offenlegung und Behebung

• November 2025 – Varonis entdeckte das Problem zunächst .
• 15. März 2026 – Google schloss die Schwachstelle der fehlenden Autorisierung (CVE-2026-4764) im Playbook-Import-Endpunkt .
• April 2026 – Google veröffentlichte ein "erstes Sicherheitsupdate", das das Problem jedoch nicht vollständig behob .
• Juni 2026 – Google behob das Problem endgültig mit einem zweiten Patch .

Google bestätigte, dass für die Patches kein Kundeneingriff erforderlich war .

Zusätzliche entdeckte Schwachstellen

Varonis stellte fest, dass die Isolierung zwischen Agenten, die sich Code-Block-Laufzeiten teilen, grundlegend unzureichend war . Selbst nach der Behebung des Import-Autorisierungsproblems erlaubte die Architektur selbst eine agentenübergreifende Code-Ausführung, wenn ein einzelner Agent kompromittiert war – ein Problem auf Designebene, dessen vollständige Behebung den zweiten Patch im Juni 2026 erforderte.

Google fügte außerdem eine Einstellung für Prompt-Sicherheitsprüfungen in der Agentenkonfiguration hinzu, um Prompt-Injection-Angriffe zu erkennen und zu blockieren, die als Teil ähnlicher Angriffsketten in der Zukunft eingesetzt werden könnten .

Wurde die Lücke jemals ausgenutzt?

Es gibt keine Hinweise darauf, dass die Schwachstelle vor dem Patch jemals in freier Wildbahn ausgenutzt wurde . Ein Sprecher von Google Cloud bestätigte: "Wir haben keine bekannten Anzeichen für eine Kompromittierung von Kunden. Es ist kein Kundeneingriff erforderlich."

Auswirkungen auf die KI-Sicherheit

Die Rogue-Agent-Schwachstelle ist eine deutliche Erinnerung daran, dass die Sicherheitsmodelle, die vielen KI-Agentenplattformen zugrunde liegen, noch nicht mit der Komplexität von Multi-Tenant-Umgebungen mit Code-Ausführung Schritt gehalten haben. Da immer mehr Unternehmen konversationelle KI-Agenten einsetzen, die benutzerdefinierten Code ausführen können, wird die Angriffsfläche von gemeinsam genutzten Laufzeiten zu einem kritischen Problem.

Unternehmen, die Dialogflow CX nutzen, sollten überprüfen, ob die Prompt-Sicherheitsprüfungen aktiviert sind und prüfen, welche Identitäten über die Berechtigung dialogflow.playbooks.update verfügen – die einzelne Berechtigung, die diese Angriffskette hätte auslösen können .