Agente Rogue: Cómo una vulnerabilidad en Dialogflow CX permitió el secuestro cruzado de agentes de IA

CVE-2026-4764 describe la causa raíz: una falta de verificación de autorización en la funcionalidad de importación de playbooks . La vulnerabilidad tiene una puntuación CVSS de 9.4, lo que la marca como un riesgo de seguridad crítico .

¿Qué podía hacer un atacante?

Una vez que el código malicioso se ejecutaba dentro de un agente víctima, el atacante podía :

• Leer conversaciones en vivo — monitorear en silencio las interacciones de los usuarios con cualquier chatbot comprometido, incluyendo chats de soporte, sesiones de bots financieros y diálogos de asistentes de salud.
• Suplantar al bot — enviar mensajes escritos por el atacante para engañar a los usuarios y hacerles compartir contraseñas, información de seguros, datos financieros u otros detalles sensibles .
• Comprometer agentes cruzados — pasar de un agente comprometido a todos los demás agentes con Bloques de Código en el mismo proyecto, escalando desde un rol de bajo privilegio a un control casi total del proyecto .

Cronología de la divulgación y el parcheo

• Noviembre de 2025 — Varonis descubre el problema inicialmente .
• 15 de marzo de 2026 — Google parchea la vulnerabilidad de falta de autorización (CVE-2026-4764) en el endpoint de importación de playbooks .
• Abril de 2026 — Google publica una "primera actualización de seguridad" que no resuelve el problema por completo .
• Junio de 2026 — Google resuelve el problema completamente con un segundo parche .

Google confirmó que no se requería ninguna acción por parte del cliente para aplicar los parches .

Debilidades adicionales descubiertas

Varonis identificó que el aislamiento entre agentes que compartían los entornos de ejecución de Bloques de Código era fundamentalmente insuficiente . Incluso después de corregir la autorización de importación, la arquitectura en sí misma permitía la ejecución de código entre agentes si uno solo se veía comprometido: un problema a nivel de diseño que requirió el segundo parche de junio de 2026 para solucionarse por completo.

Google también añadió una configuración de verificación de seguridad de prompts en la configuración del agente para ayudar a detectar y bloquear ataques de inyección de prompts que pudieran utilizarse como parte de cadenas de explotación similares en el futuro .

¿Fue explotada alguna vez?

No hay evidencia de que la vulnerabilidad fuera explotada en la naturaleza antes del parche . Un portavoz de Google Cloud confirmó: "No tenemos ninguna indicación conocida de compromiso de clientes. No se requiere ninguna acción por parte del cliente" .

Implicaciones para la seguridad de la IA

La vulnerabilidad 'Agente Rogue' es un recordatorio contundente de que los modelos de seguridad subyacentes a muchas plataformas de agentes de IA aún no han alcanzado la complejidad de los entornos multiinquilino con ejecución de código. A medida que más empresas implementan agentes de IA conversacionales que pueden ejecutar código personalizado, la superficie de ataque del entorno de ejecución compartido se convierte en una preocupación crítica.

Las organizaciones que usan Dialogflow CX deberían verificar que las comprobaciones de seguridad de prompts estén habilitadas y auditar qué identidades tienen permisos dialogflow.playbooks.update — el único permiso que podría haber iniciado esta cadena de ataque .