Agente Rogue: Cómo una vulnerabilidad en Dialogflow CX permitió el secuestro cruzado de agentes de IA

Una cadena de vulnerabilidades crítica en Dialogflow CX de Google Cloud, bautizada como Agente Rogue (Agente Pícaro), podría haber permitido a un atacante con solo permisos de edición sobre un único agente de chatbot secuestrar conversaciones en silencio, robar datos sensibles y comprometer a todos los demás agentes de IA en el mismo proyecto de nube.

La firma de seguridad Varonis Threat Labs descubrió la falla a finales de 2025 y trabajó con Google para parchearla antes de que se produjera cualquier explotación conocida. Esto es lo que sucedió, cómo funcionaba y qué implica para la seguridad de los sistemas de IA multiagente.

Cómo funcionaba la vulnerabilidad 'Agente Rogue'

Dialogflow CX es la plataforma insignia de Google Cloud para construir agentes conversacionales de IA, como chatbots y asistentes de voz utilizados por empresas para atención al cliente, servicios financieros y salud ^A. Una característica clave son los Playbooks, que permiten a los desarrolladores controlar el comportamiento del agente mediante Bloques de Código (Code Blocks) — fragmentos de código Python que se ejecutan dentro del pipeline del agente ^TD.

Varonis descubrió que estos Bloques de Código carecían de un aislamiento adecuado entre agentes ^V. La cadena de ataque funcionaba de la siguiente manera:

1. Un atacante que ya tuviera el permiso dialogflow.playbooks.update sobre un agente con Bloques de Código podía crear una importación de playbook maliciosa ^DN.
2. Ese playbook malicioso inyectaba código Python persistente en el entorno de ejecución compartido de los Bloques de Código ^V.
3. Debido a que el mismo entorno de ejecución subyacente servía a múltiples agentes en el mismo proyecto de Google Cloud, el código del atacante se ejecutaba dentro de otros agentes a los que el atacante no tenía acceso originalmente ^V.

CVE-2026-4764 describe la causa raíz: una falta de verificación de autorización en la funcionalidad de importación de playbooks ^ND. La vulnerabilidad tiene una puntuación CVSS de 9.4, lo que la marca como un riesgo de seguridad crítico ^L.

¿Qué podía hacer un atacante?

Una vez que el código malicioso se ejecutaba dentro de un agente víctima, el atacante podía ^V:

• Leer conversaciones en vivo — monitorear en silencio las interacciones de los usuarios con cualquier chatbot comprometido, incluyendo chats de soporte, sesiones de bots financieros y diálogos de asistentes de salud.
• Suplantar al bot — enviar mensajes escritos por el atacante para engañar a los usuarios y hacerles compartir contraseñas, información de seguros, datos financieros u otros detalles sensibles ^VA.
• Comprometer agentes cruzados — pasar de un agente comprometido a todos los demás agentes con Bloques de Código en el mismo proyecto, escalando desde un rol de bajo privilegio a un control casi total del proyecto ^V.

Cronología de la divulgación y el parcheo

• Noviembre de 2025 — Varonis descubre el problema inicialmente ^A.
• 15 de marzo de 2026 — Google parchea la vulnerabilidad de falta de autorización (CVE-2026-4764) en el endpoint de importación de playbooks ^DN.
• Abril de 2026 — Google publica una "primera actualización de seguridad" que no resuelve el problema por completo ^A.
• Junio de 2026 — Google resuelve el problema completamente con un segundo parche ^AA.

Google confirmó que no se requería ninguna acción por parte del cliente para aplicar los parches ^D.

Debilidades adicionales descubiertas

Varonis identificó que el aislamiento entre agentes que compartían los entornos de ejecución de Bloques de Código era fundamentalmente insuficiente ^V. Incluso después de corregir la autorización de importación, la arquitectura en sí misma permitía la ejecución de código entre agentes si uno solo se veía comprometido: un problema a nivel de diseño que requirió el segundo parche de junio de 2026 para solucionarse por completo.

Google también añadió una configuración de verificación de seguridad de prompts en la configuración del agente para ayudar a detectar y bloquear ataques de inyección de prompts que pudieran utilizarse como parte de cadenas de explotación similares en el futuro ^VD.

¿Fue explotada alguna vez?

No hay evidencia de que la vulnerabilidad fuera explotada en la naturaleza antes del parche ^A. Un portavoz de Google Cloud confirmó: "No tenemos ninguna indicación conocida de compromiso de clientes. No se requiere ninguna acción por parte del cliente" ^A.

Implicaciones para la seguridad de la IA

La vulnerabilidad 'Agente Rogue' es un recordatorio contundente de que los modelos de seguridad subyacentes a muchas plataformas de agentes de IA aún no han alcanzado la complejidad de los entornos multiinquilino con ejecución de código. A medida que más empresas implementan agentes de IA conversacionales que pueden ejecutar código personalizado, la superficie de ataque del entorno de ejecución compartido se convierte en una preocupación crítica.

Las organizaciones que usan Dialogflow CX deberían verificar que las comprobaciones de seguridad de prompts estén habilitadas ^D y auditar qué identidades tienen permisos dialogflow.playbooks.update — el único permiso que podría haber iniciado esta cadena de ataque ^V.