Rogue Agent: Celah Kritis Dialogflow CX yang Memungkinkan Pembajakan Lintas Agen AI

Sebuah rantai kerentanan kritis di Google Cloud Dialogflow CX, yang dijuluki Rogue Agent, memungkinkan penyerang yang hanya memiliki izin edit pada satu agen chatbot untuk secara diam-diam membajak percakapan, mencuri data sensitif, dan membahayakan semua agen AI lainnya dalam proyek cloud yang sama.

Perusahaan keamanan Varonis Threat Labs menemukan celah ini pada akhir tahun 2025 dan bekerja sama dengan Google untuk menambalnya sebelum ada eksploitasi yang diketahui. Berikut adalah kronologi, cara kerjanya, dan apa artinya bagi keamanan sistem AI multi-agen.

Bagaimana Kerentanan Rogue Agent Bekerja

Dialogflow CX adalah platform unggulan Google Cloud untuk membangun agen AI percakapan — chatbot dan asisten suara yang digunakan perusahaan untuk layanan pelanggan, layanan keuangan, dan kesehatan . Fitur utamanya adalah Playbooks, yang memungkinkan pengembang mengontrol perilaku agen dengan menempelkan Code Blocks inline — potongan kode Python yang berjalan di dalam pipeline agen .

Varonis menemukan bahwa Code Blocks ini tidak memiliki isolasi yang memadai antar agen . Rantai serangan bekerja sebagai berikut:

1. Penyerang yang sudah memiliki izin dialogflow.playbooks.update pada satu agen yang mendukung Code Block dapat membuat impor playbook berbahaya .
2. Playbook berbahaya itu menyuntikkan kode Python persisten ke dalam lingkungan runtime Code Block bersama .
3. Karena lingkungan eksekusi yang sama melayani beberapa agen dalam proyek Google Cloud yang sama, kode penyerang kemudian akan dieksekusi di dalam agen lain — agen yang awalnya tidak dapat diakses oleh penyerang .

CVE-2026-4764 menjelaskan akar penyebab inti: kurangnya pemeriksaan otorisasi pada fungsionalitas impor playbook . Kerentanan ini memiliki skor CVSS 9,4, menandainya sebagai risiko keamanan kritis .

Apa yang Bisa Dilakukan Penyerang

Setelah kode berbahaya berjalan di dalam agen korban, penyerang dapat :

• Membaca percakapan langsung — memantau secara diam-diam interaksi pengguna real-time dengan chatbot mana pun yang dibajak, termasuk obrolan dukungan pelanggan, sesi bot keuangan, dan dialog asisten kesehatan.
• Menyamar sebagai bot — mengirim pesan atas nama bot untuk mengelabui pengguna agar membagikan kata sandi, informasi asuransi, data keuangan, atau detail sensitif lainnya .
• Kompromi lintas agen — beralih dari satu agen yang dibajak ke setiap agen lain yang mendukung Code Block dalam proyek yang sama, meningkat dari peran berhak istimewa rendah menjadi kendali hampir seluruh proyek .

Timeline Pengungkapan dan Penambalan

• November 2025 — Varonis awalnya menemukan masalah ini .
• 15 Maret 2026 — Google menambal kerentanan kurangnya otorisasi (CVE-2026-4764) di endpoint impor playbook .
• April 2026 — Google merilis "pembaruan keamanan pertama" yang tidak sepenuhnya menyelesaikan masalah .
• Juni 2026 — Google sepenuhnya menyelesaikan masalah dengan patch kedua .

Google mengonfirmasi bahwa tidak ada tindakan yang diperlukan dari pelanggan untuk patch tersebut .

Kelemahan Tambahan yang Terungkap

Varonis mengidentifikasi bahwa isolasi antar agen yang berbagi runtime Code Block pada dasarnya tidak memadai . Bahkan setelah memperbaiki otorisasi impor, arsitektur itu sendiri memungkinkan eksekusi kode lintas agen jika satu agen saja dibajak — masalah tingkat desain yang memerlukan patch kedua pada Juni 2026 untuk diatasi sepenuhnya.

Google juga menambahkan pengaturan pemeriksaan keamanan prompt di konfigurasi agen untuk membantu mendeteksi dan memblokir serangan prompt-injection yang dapat digunakan sebagai bagian dari rantai eksploitasi serupa di masa depan .

Apakah Pernah Dieksploitasi?

Tidak ada bukti bahwa kerentanan ini pernah dieksploitasi di alam liar sebelum patch . Juru bicara Google Cloud mengonfirmasi: "Kami tidak memiliki indikasi kompromi pelanggan. Tidak ada tindakan yang diperlukan dari pelanggan."

Implikasi untuk Keamanan AI

Kerentanan Rogue Agent adalah pengingat nyata bahwa model keamanan yang mendasari banyak platform agen AI belum sepenuhnya mengimbangi kompleksitas lingkungan multi-tenant yang mengeksekusi kode. Seiring semakin banyak perusahaan yang menggunakan agen AI percakapan yang dapat menjalankan kode khusus, permukaan serangan runtime bersama menjadi perhatian kritis.

Organisasi yang menggunakan Dialogflow CX harus memverifikasi bahwa pemeriksaan keamanan prompt diaktifkan dan mengaudit identitas mana yang memiliki izin dialogflow.playbooks.update — satu-satunya izin yang dapat memulai rantai serangan ini .