Agente Rogue: La falla che trasformava i chatbot in spie

Una catena di vulnerabilità critiche in Google Cloud Dialogflow CX, soprannominata Rogue Agent, avrebbe permesso a un attaccante con soli permessi di modifica su un singolo agente di dirottare silenziosamente le conversazioni, rubare dati sensibili e compromettere ogni altro agente AI presente nello stesso progetto cloud.

Il team Varonis Threat Labs ha scoperto la falla a fine 2025 e ha collaborato con Google per correggerla prima che venisse sfruttata. Ecco come funzionava, quali erano i rischi e cosa significa per la sicurezza dei sistemi AI multi-agente.

Come funzionava la vulnerabilità Rogue Agent

Dialogflow CX è la piattaforma di punta di Google Cloud per la creazione di agenti conversazionali basati su AI: chatbot e assistenti vocali utilizzati dalle aziende per l'assistenza clienti, i servizi finanziari e la sanità . Una caratteristica chiave sono i Playbook, che permettono agli sviluppatori di controllare il comportamento dell'agente tramite Code Blocks (blocchi di codice Python) integrati direttamente nel flusso di elaborazione dell'agente .

Varonis ha scoperto che questi Code Blocks non avevano un adeguato isolamento tra diversi agenti . La catena d'attacco funzionava così:

1. Un attaccante che aveva già il permesso dialogflow.playbooks.update su un agente con Code Blocks poteva creare un playbook dannoso da importare .
2. Il playbook dannoso iniettava codice Python persistente nell'ambiente di esecuzione condiviso dei Code Blocks .
3. Poiché lo stesso ambiente di esecuzione serviva più agenti nello stesso progetto Google Cloud, il codice dell'attaccante veniva eseguito all'interno di altri agenti a cui l'attaccante non aveva accesso .

CVE-2026-4764 descrive la causa principale: una mancanza di controllo di autorizzazione nella funzione di importazione dei playbook . La vulnerabilità ha un punteggio CVSS di 9.4, classificandola come rischio di sicurezza critico .

Cosa poteva fare un attaccante

Una volta che il codice malevolo era in esecuzione all'interno di un agente vittima, l'attaccante poteva :

• Leggere le conversazioni in tempo reale: monitorare silenziosamente le interazioni degli utenti con qualsiasi chatbot compromesso, incluse chat di assistenza clienti, sessioni con bot finanziari e dialoghi con assistenti sanitari.
• Impersonare il bot: inviare messaggi scritti dall'attaccante per indurre gli utenti a condividere password, informazioni assicurative, dati finanziari o altri dettagli sensibili .
• Compromissione trasversale tra agenti: passare da un agente compromesso a tutti gli altri con Code Blocks attivi nello stesso progetto, scalando da un ruolo a bassi privilegi a un controllo quasi totale del progetto .

Tempistica della divulgazione e della correzione

• Novembre 2025: Varonis ha scoperto inizialmente il problema .
• 15 marzo 2026: Google ha corretto la vulnerabilità di autorizzazione mancante (CVE-2026-4764) nell'endpoint di importazione dei playbook .
• Aprile 2026: Google ha rilasciato un "primo aggiornamento di sicurezza" che non risolveva completamente il problema .
• Giugno 2026: Google ha risolto definitivamente il problema con una seconda patch .

Google ha confermato che non è stata richiesta alcuna azione da parte dei clienti per l'applicazione delle patch .

Altre debolezze scoperte

Varonis ha identificato che l'isolamento tra agenti che condividevano i runtime dei Code Blocks era fondamentalmente insufficiente . Anche dopo aver corretto l'autorizzazione di importazione, l'architettura stessa permetteva l'esecuzione di codice tra agenti diversi se uno qualsiasi di essi veniva compromesso. Questo problema a livello di progettazione ha richiesto la seconda patch di giugno 2026 per essere risolto completamente.

Google ha anche aggiunto un'impostazione di controllo di sicurezza del prompt nella configurazione dell'agente per aiutare a rilevare e bloccare gli attacchi di injection nei prompt che potrebbero essere usati in future catene di sfruttamento simili .

È mai stato sfruttato?

Non ci sono prove che la vulnerabilità sia mai stata sfruttata prima della correzione . Un portavoce di Google Cloud ha confermato: "Non abbiamo alcuna indicazione nota di compromissione dei clienti. Non è richiesta alcuna azione da parte dei clienti."

Implicazioni per la sicurezza dell'AI

La vulnerabilità Rogue Agent è un duro promemoria del fatto che i modelli di sicurezza alla base di molte piattaforme di agenti AI non hanno ancora tenuto il passo con la complessità degli ambienti multi-tenant che eseguono codice personalizzato. Con l'aumento delle aziende che implementano agenti conversazionali in grado di eseguire codice personalizzato, la superficie d'attacco dei runtime condivisi diventa una preoccupazione critica .

Le organizzazioni che utilizzano Dialogflow CX dovrebbero verificare che i controlli di sicurezza dei prompt siano attivati e controllare quali identità hanno i permessi dialogflow.playbooks.update — l'unico permesso che poteva avviare questa catena d'attacco .