סוכן סורר: איך פרצת אבטחה ב־Dialogflow CX של גוגל אפשרה השתלטות חוצת־סוכנים על בינה מלאכותית

CVE-2026-4764 מתאר את שורש הבעיה: חוסר בבדיקת הרשאות בפונקציונליות יבוא ה־playbook . לפגיעות ציון CVSS של 9.4, המוגדר כסיכון אבטחה קריטי .

מה תוקף יכול היה לעשות

לאחר שהקוד הזדוני פעל בתוך סוכן קורבן, התוקף יכול היה :

• לקרוא שיחות בזמן אמת — לפקח בשקט על אינטראקציות משתמשים בזמן אמת עם כל צ'טבוט שנפרץ, כולל צ'טים של תמיכת לקוחות, פגישות עם בוטים פיננסיים ושיחות עם עוזרי בריאות.
• להתחזות לבוט — לשלוח הודעות מטעם הסוכן כדי להערים על משתמשים ולחשוף סיסמאות, מידע ביטוחי, נתונים פיננסיים או פרטים רגישים אחרים .
• פגיעה חוצת־סוכנים — לעבור מסוכן אחד שנפרץ לכל סוכן אחר התומך ב־Code Blocks באותו פרויקט, תוך הרחבת ההרשאות מרמת משתמש מוגבל לשליטה כמעט מלאה בפרויקט .

ציר הזמן של הגילוי והתיקון

• נובמבר 2025 — Varonis גילתה לראשונה את הבעיה .
• 15 במרץ 2026 — גוגל תיקנה את פגיעות חוסר ההרשאות (CVE-2026-4764) בנקודת קצה יבוא ה־playbook .
• אפריל 2026 — גוגל פרסמה "עדכון אבטחה ראשוני" שלא פתר את הבעיה לחלוטין .
• יוני 2026 — גוגל פתרה את הבעיה לחלוטין בתיקון שני .

גוגל אישרה שלא נדרשה פעולה מצד הלקוחות לתיקונים .

חולשות נוספות שנחשפו

Varonis זיהתה שהבידוד בין סוכנים שחולקים סביבות הרצה של Code Blocks היה בלתי מספק בעיקרו . גם לאחר תיקון הרשאת הייבוא, הארכיטקטורה עצמה אפשרה ביצוע קוד חוצה־סוכנים אם סוכן בודד נפרץ — בעיה ברמת התכנון שדרשה את התיקון השני ביוני 2026 לפתרון מלא.

גוגל הוסיפה גם הגדרה של בדיקת אבטחת הנחיה (prompt security check) בתצורת הסוכן, כדי לסייע בזיהוי וחסימת התקפות הזרקת הנחיה שעשויות לשמש בשרשראות ניצול דומות בעתיד .

האם הפגיעות נוצלה?

אין שום ראיה לכך שהפגיעות נוצלה בשטח לפני התיקון . דובר מטעם Google Cloud אישר: "אין לנו אינדיקציה ידועה לפגיעה בלקוחות. לא נדרשת פעולה מצד הלקוח."

השלכות על אבטחת AI

פגיעות Rogue Agent היא תזכורת ברורה לכך שמודלי האבטחה העומדים בבסיס פלטפורמות AI רבות טרם הדביקו את קצב המורכבות של סביבות מרובות דיירים המבצעות קוד. ככל שארגונים רבים יותר פורסים סוכני שיחה מבוססי AI שיכולים להריץ קוד מותאם אישית, משטח התקיפה של סביבות ריצה משותפות הופך לדאגה קריטית.

ארגונים המשתמשים ב־Dialogflow CX צריכים לוודא שבדיקות אבטחת ההנחיה מופעלות ולבקר אילו זהויות מחזיקות בהרשאת dialogflow.playbooks.update — ההרשאה היחידה שיכלה להתחיל את שרשרת התקיפה הזו .