Varonisの調査により、これらのCode Blocksがエージェント間で適切に分離されていないことが判明しました。攻撃の連鎖は以下のように進行します。

1. 攻撃者は、あらかじめCode Blocksが有効な1つのエージェントに対してdialogflow.playbooks.update権限を保有している必要があります。
2. 攻撃者は、この権限を悪用して悪意のあるPlaybookをインポートします。
3. このPlaybookには、共有されたCode Blocks実行環境に永続的に残るPythonコードが仕込まれています。
4. 同じGoogle Cloudプロジェクト内の複数のエージェントが同じ実行環境を共有しているため、攻撃者のコードは本来アクセス権のない他のエージェントの内部でも実行されるようになります。

この脆弱性の根幹は、Playbookインポート機能における認可チェックの欠如（Missing Authorization）であり、CVE-2026-4764として識別されています。その深刻度はCVSSスコア9.4と評価され、緊急のセキュリティリスクに位置づけられました。

攻撃者が実現できたこと

悪意のあるコードが標的のエージェント内で実行されると、攻撃者は以下のような行動をとることが可能でした:

• ライブ会話の盗聴：侵害されたチャットボットとのリアルタイムのユーザーやり取りを、顧客サポート、金融サービス、ヘルスケアアシスタントなどのセッションを問わず、気付かれずに監視できます。
• ボットになりすましたフィッシング：ボットになりすまして攻撃者が作成したメッセージを送信し、ユーザーを騙してパスワード、保険情報、金融データなどの機密情報を入力させることができます。
• クロスエージェント侵害：侵害した1つのエージェントを足掛かりに、同じプロジェクト内のCode Blocksが有効な他の全エージェントに攻撃を拡大し、低権限のロールからプロジェクト全体に近い制御権限を獲得できます。

開示と修正のタイムライン

• 2025年11月 — Varonisが最初に問題を発見。
• 2026年3月15日 — GoogleがPlaybookインポート機能の認可欠如の脆弱性（CVE-2026-4764）に対する最初のパッチをリリース。
• 2026年4月 — Googleが「最初のセキュリティアップデート」をリリースするも、問題は完全には解決せず。
• 2026年6月 — Googleが2回目のパッチで問題を完全に解決。

Googleは、これらのパッチ適用のために顧客側での対応は不要であると発表しています。

その他の明らかになった弱点

Varonisは、Code Blocksの実行環境を共有するエージェント間の分離が根本的に不十分であることを特定しました。Playbookインポートの認可問題が修正された後も、もし1つのエージェントが侵害された場合、アーキテクチャそのものがクロスエージェントのコード実行を許してしまうという設計上の問題が残っていました。この問題に対処するために、2026年6月の2回目のパッチが必要となりました。

また、Googleはエージェント設定にプロンプトセキュリティチェックの機能を追加しました。これは、今回のような攻撃連鎖の一部として悪用される可能性のあるプロンプトインジェクション攻撃を検出・ブロックするのに役立ちます。

実際に悪用された形跡は？

パッチが適用される前に、この脆弱性が実際に悪用されたという証拠は確認されていません。Google Cloudの広報担当者は、「お客様のシステムが侵害されたという既知の兆候はありません。お客様による対応は不要です。」と述べています。

AIセキュリティへの教訓

Rogue Agent脆弱性は、多くのAIエージェントプラットフォームの基盤となるセキュリティモデルが、マルチテナントでコードを実行する複雑な環境にまだ追いついていないことを如実に示しています。カスタムコードを実行できる会話型AIエージェントを導入する企業が増えるにつれて、共有ランタイムにおける攻撃対象領域は極めて重要な懸念事項となります。

Dialogflow CXを利用する組織は、プロンプトセキュリティチェックが有効になっていることを確認し、「dialogflow.playbooks.update」権限を持つアカウントを監査することが推奨されます。このたった一つの権限が、この攻撃連鎖の開始点となり得たからです。

Varonisの調査により、これらのCode Blocksがエージェント間で適切に分離されていないことが判明しました。攻撃の連鎖は以下のように進行します。

1. 攻撃者は、あらかじめCode Blocksが有効な1つのエージェントに対してdialogflow.playbooks.update権限を保有している必要があります。
2. 攻撃者は、この権限を悪用して悪意のあるPlaybookをインポートします。
3. このPlaybookには、共有されたCode Blocks実行環境に永続的に残るPythonコードが仕込まれています。
4. 同じGoogle Cloudプロジェクト内の複数のエージェントが同じ実行環境を共有しているため、攻撃者のコードは本来アクセス権のない他のエージェントの内部でも実行されるようになります。

この脆弱性の根幹は、Playbookインポート機能における認可チェックの欠如（Missing Authorization）であり、CVE-2026-4764として識別されています。その深刻度はCVSSスコア9.4と評価され、緊急のセキュリティリスクに位置づけられました。

攻撃者が実現できたこと

悪意のあるコードが標的のエージェント内で実行されると、攻撃者は以下のような行動をとることが可能でした:

• ライブ会話の盗聴：侵害されたチャットボットとのリアルタイムのユーザーやり取りを、顧客サポート、金融サービス、ヘルスケアアシスタントなどのセッションを問わず、気付かれずに監視できます。
• ボットになりすましたフィッシング：ボットになりすまして攻撃者が作成したメッセージを送信し、ユーザーを騙してパスワード、保険情報、金融データなどの機密情報を入力させることができます。
• クロスエージェント侵害：侵害した1つのエージェントを足掛かりに、同じプロジェクト内のCode Blocksが有効な他の全エージェントに攻撃を拡大し、低権限のロールからプロジェクト全体に近い制御権限を獲得できます。

開示と修正のタイムライン

• 2025年11月 — Varonisが最初に問題を発見。
• 2026年3月15日 — GoogleがPlaybookインポート機能の認可欠如の脆弱性（CVE-2026-4764）に対する最初のパッチをリリース。
• 2026年4月 — Googleが「最初のセキュリティアップデート」をリリースするも、問題は完全には解決せず。
• 2026年6月 — Googleが2回目のパッチで問題を完全に解決。

Googleは、これらのパッチ適用のために顧客側での対応は不要であると発表しています。

その他の明らかになった弱点

Varonisは、Code Blocksの実行環境を共有するエージェント間の分離が根本的に不十分であることを特定しました。Playbookインポートの認可問題が修正された後も、もし1つのエージェントが侵害された場合、アーキテクチャそのものがクロスエージェントのコード実行を許してしまうという設計上の問題が残っていました。この問題に対処するために、2026年6月の2回目のパッチが必要となりました。

また、Googleはエージェント設定にプロンプトセキュリティチェックの機能を追加しました。これは、今回のような攻撃連鎖の一部として悪用される可能性のあるプロンプトインジェクション攻撃を検出・ブロックするのに役立ちます。

実際に悪用された形跡は？

パッチが適用される前に、この脆弱性が実際に悪用されたという証拠は確認されていません。Google Cloudの広報担当者は、「お客様のシステムが侵害されたという既知の兆候はありません。お客様による対応は不要です。」と述べています。

AIセキュリティへの教訓

Rogue Agent脆弱性は、多くのAIエージェントプラットフォームの基盤となるセキュリティモデルが、マルチテナントでコードを実行する複雑な環境にまだ追いついていないことを如実に示しています。カスタムコードを実行できる会話型AIエージェントを導入する企業が増えるにつれて、共有ランタイムにおける攻撃対象領域は極めて重要な懸念事項となります。

Dialogflow CXを利用する組織は、プロンプトセキュリティチェックが有効になっていることを確認し、「dialogflow.playbooks.update」権限を持つアカウントを監査することが推奨されます。このたった一つの権限が、この攻撃連鎖の開始点となり得たからです。