סוכן סורר: איך פרצת אבטחה ב־Dialogflow CX של גוגל אפשרה השתלטות חוצת־סוכנים על בינה מלאכותית

שרשרת פגיעויות קריטית בפלטפורמת Dialogflow CX של Google Cloud, המכונה Rogue Agent, איפשרה לתוקף בעל הרשאת עריכה בסוכן צ'טבוט אחד להשתלט בשקט על שיחות, לגנוב מידע רגיש ולפגוע בכל סוכן AI אחר באותו פרויקט ענן.

חברת האבטחה Varonis Threat Labs גילתה את הפגיעות בסוף 2025 ועבדה עם גוגל לתיקונה לפני שדווח על ניצול בשטח. הנה מה שקרה, איך זה עבד, ומה זה אומר על אבטחת מערכות רב־סוכניות מבוססות AI.

איך פגיעות Rogue Agent עבדה

Dialogflow CX היא פלטפורמת הדגל של Google Cloud לבניית סוכני שיחה מבוססי AI — צ'טבוטים ועוזרים קוליים המשמשים ארגונים לתמיכת לקוחות, שירותים פיננסיים ובריאות ^A. תכונה מרכזית היא Playbooks (ספרי משחק), המאפשרים למפתחים לשלוט בהתנהגות הסוכן באמצעות Code Blocks — קטעי קוד Python המוטמעים בצינור העיבוד של הסוכן ^TD.

Varonis גילתה ש־Code Blocks חסרים בידוד מספק בין סוכנים ^V. שרשרת התקיפה פעלה כך:

1. תוקף שכבר היה בעל הרשאת dialogflow.playbooks.update על סוכן אחד התומך ב־Code Blocks, יכול היה לייבא playbook זדוני ^DN.
2. ה־playbook הזדוני הזריק קוד Python מתמשך לסביבת זמן הריצה המשותפת של Code Blocks ^V.
3. מכיוון שאותה סביבת הרצה משותפת שירתה מספר סוכנים באותו פרויקט, הקוד של התוקף בוצע בתוך סוכנים אחרים — סוכנים שלהם לא הייתה לתוקף גישה מלכתחילה ^V.

CVE-2026-4764 מתאר את שורש הבעיה: חוסר בבדיקת הרשאות בפונקציונליות יבוא ה־playbook ^ND. לפגיעות ציון CVSS של 9.4, המוגדר כסיכון אבטחה קריטי ^L.

מה תוקף יכול היה לעשות

לאחר שהקוד הזדוני פעל בתוך סוכן קורבן, התוקף יכול היה ^V:

• לקרוא שיחות בזמן אמת — לפקח בשקט על אינטראקציות משתמשים בזמן אמת עם כל צ'טבוט שנפרץ, כולל צ'טים של תמיכת לקוחות, פגישות עם בוטים פיננסיים ושיחות עם עוזרי בריאות.
• להתחזות לבוט — לשלוח הודעות מטעם הסוכן כדי להערים על משתמשים ולחשוף סיסמאות, מידע ביטוחי, נתונים פיננסיים או פרטים רגישים אחרים ^VA.
• פגיעה חוצת־סוכנים — לעבור מסוכן אחד שנפרץ לכל סוכן אחר התומך ב־Code Blocks באותו פרויקט, תוך הרחבת ההרשאות מרמת משתמש מוגבל לשליטה כמעט מלאה בפרויקט ^V.

ציר הזמן של הגילוי והתיקון

• נובמבר 2025 — Varonis גילתה לראשונה את הבעיה ^A.
• 15 במרץ 2026 — גוגל תיקנה את פגיעות חוסר ההרשאות (CVE-2026-4764) בנקודת קצה יבוא ה־playbook ^DN.
• אפריל 2026 — גוגל פרסמה "עדכון אבטחה ראשוני" שלא פתר את הבעיה לחלוטין ^A.
• יוני 2026 — גוגל פתרה את הבעיה לחלוטין בתיקון שני ^AA.

גוגל אישרה שלא נדרשה פעולה מצד הלקוחות לתיקונים ^D.

חולשות נוספות שנחשפו

Varonis זיהתה שהבידוד בין סוכנים שחולקים סביבות הרצה של Code Blocks היה בלתי מספק בעיקרו ^V. גם לאחר תיקון הרשאת הייבוא, הארכיטקטורה עצמה אפשרה ביצוע קוד חוצה־סוכנים אם סוכן בודד נפרץ — בעיה ברמת התכנון שדרשה את התיקון השני ביוני 2026 לפתרון מלא.

גוגל הוסיפה גם הגדרה של בדיקת אבטחת הנחיה (prompt security check) בתצורת הסוכן, כדי לסייע בזיהוי וחסימת התקפות הזרקת הנחיה שעשויות לשמש בשרשראות ניצול דומות בעתיד ^VD.

האם הפגיעות נוצלה?

אין שום ראיה לכך שהפגיעות נוצלה בשטח לפני התיקון ^A. דובר מטעם Google Cloud אישר: "אין לנו אינדיקציה ידועה לפגיעה בלקוחות. לא נדרשת פעולה מצד הלקוח." ^A

השלכות על אבטחת AI

פגיעות Rogue Agent היא תזכורת ברורה לכך שמודלי האבטחה העומדים בבסיס פלטפורמות AI רבות טרם הדביקו את קצב המורכבות של סביבות מרובות דיירים המבצעות קוד. ככל שארגונים רבים יותר פורסים סוכני שיחה מבוססי AI שיכולים להריץ קוד מותאם אישית, משטח התקיפה של סביבות ריצה משותפות הופך לדאגה קריטית.

ארגונים המשתמשים ב־Dialogflow CX צריכים לוודא שבדיקות אבטחת ההנחיה מופעלות ^D ולבקר אילו זהויות מחזיקות בהרשאת dialogflow.playbooks.update — ההרשאה היחידה שיכלה להתחיל את שרשרת התקיפה הזו ^V.