Rogue Agent: Kriittinen haavoittuvuus Googlen Dialogflow CX:ssä mahdollisti tekoälyagenttien kaappauksen

Googlen Dialogflow CX -alustasta on paljastunut kriittinen tietoturva-aukko, jota kutsutaan nimellä Rogue Agent. Tämä haavoittuvuusketju olisi mahdollistanut hyökkääjän kaapata tekoälyagentteja ja varastaa arkaluonteisia tietoja käyttäjiltä ^VA.

Miten Rogue Agent toimi

Dialogflow CX on Googlen pilvialusta, jota yritykset käyttävät asiakaspalvelurobottien ja muiden keskustelevien tekoälyagenttien rakentamiseen ^A. Alustan Playbook-ominaisuus antaa kehittäjille mahdollisuuden ohjata agentin toimintaa lisäämällä omia Code Block -koodilohkoja – Python-pätkiä, jotka suoritetaan agentin prosessissa ^TD.

Varonis Threat Labs löysi haavoittuvuuden loppuvuodesta 2025 ja raportoi siitä Googlelle ^A. Hyökkäysketju eteni seuraavasti:

1. Hyökkääjä, jolla on dialogflow.playbooks.update-oikeus yhteen Code Block -agenttiin, pystyi luomaan haitallisen playbook-tuonnin ^DN.
2. Tämä playbook upotti pysyvän Python-koodin jaetun Code Block -suoritusympäristön runtimeen ^V.
3. Koska sama taustajärjestelmä palveli useita agentteja samassa Google Cloud -projektissa, koodi suorittautui myös muissa agenteissa ^V.

Havaittu ongelma on nimetty CVE-2026-4764:ksi, ja se johtuu puuttuvasta käyttövaltuustarkistuksesta playbook-tuonnissa ^ND. Haavoittuvuus sai CVSS-pistearvon 9.4, mikä tarkoittaa kriittistä riskiä ^L.

Mitä hyökkääjä saattoi tehdä

Hyökkääjä pystyi vallattuaan yhden agentin tekemään seuraavaa ^V:

• Lukea live-keskusteluja – seurata reaaliaikaisia käyttäjäkeskusteluja esimerkiksi asiakaspalvelussa, pankkipalveluissa tai terveydenhuollossa.
• Esittäytyä chatbotiksi – lähettää käyttäjille hyökkääjän kirjoittamia viestejä, joilla pyydettiin salasanoja, vakuutustietoja tai pankkitietoja ^VA.
• Levittäytyä projektissa – vallata muita Code Block -agenteja samassa Google Cloud -projektissa ja saada laajat oikeudet projektitasolla ^V.

Paljastuksen ja paikkauksen aikajana

• Marraskuu 2025 – Varonis löysi haavoittuvuuden ^A.
• 15. maaliskuuta 2026 – Google paikkasi CVE-2026-4764:ään liittyvän puuttuvan valtuustarkistuksen playbook-tuonnissa ^DN.
• Huhtikuu 2026 – Ensimmäinen tietoturvapäivitys, joka ei täysin ratkaissut ongelmaa ^A.
• Kesäkuu 2026 – Toinen paikkaus, joka korjasi ongelman lopullisesti ^AA.

Googlen mukaan asiakkailta ei vaadita toimenpiteitä ^D.

Muita tietoturvapuutteita

Varonis havaitsi, että agenttien välinen eristys Code Block -suoritusympäristössä oli puutteellinen ^V. Pelkkä tuonnin valtuustarkistus ei riittänyt, koska arkkitehtuuri mahdollisti koodin suorittamisen agenttien välillä. Tämä vaati kesäkuun 2026 toisen paikkauksen ^V.

Google lisäsi myös prompt security check -asetuksen, joka auttaa havaitsemaan ja estämään prompt-injektiohyökkäyksiä ^VD.

Käytettiinkö haavoittuvuutta hyväksi?

Haavoittuvuudesta ei ole näyttöä, että sitä olisi käytetty hyväksi ennen paikkausta ^A. Googlen tiedottajan mukaan: "Meillä ei ole mitään viitteitä siitä, että asiakkaiden tietoja olisi vaarannettu. Asiakkailta ei vaadita toimenpiteitä." ^A

Mitä tämä tarkoittaa tekoälyn tietoturvalle

Rogue Agent -haavoittuvuus korostaa, että monien tekoälyalustojen tietoturva ei ole vielä valmis monimutkaisiin koodia suorittaviin ympäristöihin. Kun yritykset ottavat käyttöön yhä enemmän tekoälyagentteja, jaetun suoritusympäristön hyökkäyspinta-ala kasvaa kriittiseksi huolenaiheeksi ^V.

Organisaatioiden, jotka käyttävät Dialogflow CX:ää, kannattaa tarkistaa, että prompt security check -asetus on käytössä ^D. Lisäksi on syytä kartoittaa, keillä on dialogflow.playbooks.update-oikeuksia – se yksittäinen oikeus, joka olisi riittänyt käynnistämään koko hyökkäysketjun ^V.