Agent Rogue : Comment une faille critique dans Dialogflow CX a permis le détournement d'agents IA

Une chaîne de vulnérabilités critique dans Dialogflow CX de Google Cloud, baptisée Rogue Agent, aurait pu permettre à un attaquant ne disposant que des droits d'édition sur un seul agent conversationnel de détourner silencieusement des conversations, de dérober des données sensibles et de compromettre tous les autres agents du même projet cloud.

Le cabinet de sécurité Varonis Threat Labs a découvert cette faille fin 2025 et a collaboré avec Google pour la corriger avant toute exploitation avérée. Voici ce qui s'est passé, comment cela fonctionnait et ce que cela implique pour la sécurité des systèmes d'IA multi-agents.

Comment fonctionnait la vulnérabilité Rogue Agent

Dialogflow CX est la plateforme phare de Google Cloud pour la création d'agents conversationnels basés sur l'IA — chatbots et assistants vocaux utilisés par les entreprises pour le support client, les services financiers et la santé ^A. Une fonctionnalité clé est celle des Playbooks, qui permettent aux développeurs de contrôler le comportement de l'agent en attachant des Code Blocks — des fragments de code Python qui s'exécutent dans le pipeline de l'agent ^TD.

Varonis a découvert que ces Code Blocks manquaient d'isolation suffisante entre les agents ^V. La chaîne d'attaque se déroulait comme suit :

1. Un attaquant disposant déjà de l'autorisation dialogflow.playbooks.update sur un seul agent utilisant des Code Blocks pouvait créer une importation de playbook malveillante ^DN.
2. Ce playbook malveillant injectait du code Python persistant dans l'environnement d'exécution partagé des Code Blocks ^V.
3. Comme le même environnement d'exécution sous-jacent servait plusieurs agents dans le même projet Google Cloud, le code de l'attaquant s'exécutait ensuite à l'intérieur d'autres agents — des agents auxquels l'attaquant n'avait pas accès initialement ^V.

CVE-2026-4764 décrit la cause racine : un contrôle d'autorisation manquant dans la fonctionnalité d'importation de playbook ^ND. La vulnérabilité porte un score CVSS de 9,4, ce qui en fait un risque de sécurité critique ^L.

Ce qu'un attaquant pouvait faire

Une fois le code malveillant exécuté dans un agent victime, l'attaquant pouvait ^V :

• Lire les conversations en direct — surveiller silencieusement les interactions en temps réel des utilisateurs avec tout chatbot compromis, y compris les chats de support client, les sessions de robots financiers et les dialogues d'assistants de santé.
• Usurper l'identité du robot — envoyer des messages rédigés par l'attaquant pour inciter les utilisateurs à partager des mots de passe, des informations d'assurance, des données financières ou d'autres détails sensibles ^VA.
• Compromission croisée des agents — passer d'un agent compromis à tous les autres agents utilisant des Code Blocks dans le même projet, passant d'un rôle à faible privilège à un contrôle quasi total du projet ^V.

Calendrier de la divulgation et des correctifs

• Novembre 2025 — Découverte initiale du problème par Varonis ^A.
• 15 mars 2026 — Google corrige la vulnérabilité d'autorisation manquante (CVE-2026-4764) dans le point de terminaison d'importation de playbook ^DN.
• Avril 2026 — Google publie une "première mise à jour de sécurité" qui ne résout pas complètement le problème ^A.
• Juin 2026 — Google résout complètement le problème avec un deuxième correctif ^AA.

Google a confirmé qu'aucune action n'était requise de la part des clients pour ces correctifs ^D.

Faiblesses supplémentaires découvertes

Varonis a identifié que l'isolation entre les agents partageant les environnements d'exécution des Code Blocks était fondamentalement insuffisante ^V. Même après avoir corrigé l'autorisation d'importation, l'architecture elle-même permettait l'exécution de code entre agents si un seul agent était compromis — un problème de conception qui a nécessité le deuxième correctif de juin 2026 pour être entièrement résolu.

Google a également ajouté un paramètre de vérification de sécurité des invites dans la configuration de l'agent pour aider à détecter et bloquer les attaques par injection de prompt qui pourraient être utilisées dans le cadre de chaînes d'exploitation similaires à l'avenir ^VD.

La vulnérabilité a-t-elle été exploitée ?

Il n'existe aucune preuve que la vulnérabilité ait jamais été exploitée avant le correctif ^A. Un porte-parole de Google Cloud a confirmé : "Nous n'avons aucune indication connue de compromission de client. Aucune action client n'est requise." ^A

Implications pour la sécurité de l'IA

La vulnérabilité Rogue Agent est un rappel brutal que les modèles de sécurité qui sous-tendent de nombreuses plateformes d'agents IA n'ont pas encore rattrapé la complexité des environnements multi-locataires exécutant du code. Alors que de plus en plus d'entreprises déploient des agents conversationnels capables d'exécuter du code personnalisé, la surface d'attaque des environnements d'exécution partagés devient une préoccupation critique.

Les organisations utilisant Dialogflow CX devraient vérifier que les vérifications de sécurité des invites sont activées ^D et auditer les identités disposant des autorisations dialogflow.playbooks.update — la seule autorisation qui aurait pu déclencher cette chaîne d'attaque ^V.