구글 Dialogflow CX '로그 에이전트' 취약점: 하나의 봇을 장악하면 전체 프로젝트가 위험에 빠졌던 이유

구글 클라우드(Google Cloud)의 대화형 AI 플랫폼인 Dialogflow CX에서 발견된 치명적인 취약점 체인, 일명 '로그 에이전트(Rogue Agent)' 는 단일 챗봇 에이전트에 대한 편집 권한만 가진 공격자가 조용히 대화를 가로채고, 민감한 데이터를 훔치고, 동일 클라우드 프로젝트에 있는 모든 AI 에이전트를 장악할 수 있게 하는 취약점이었습니다.

보안 기업 Varonis Threat Labs는 2025년 말 이 결함을 발견했으며, 구글과 협력하여 악용 사례가 보고되기 전에 패치를 완료했습니다. 지금부터 이 취약점이 어떻게 작동했는지, 어떤 위협이 있었는지, 그리고 멀티 에이전트 AI 시스템의 보안에 어떤 의미를 주는지 자세히 알아보겠습니다.

'로그 에이전트' 취약점은 어떻게 작동했나

Dialogflow CX는 기업들이 고객 지원, 금융 서비스, 헬스케어 등에 사용하는 AI 챗봇과 음성 비서를 구축하는 구글 클라우드의 핵심 플랫폼입니다 . 이 플랫폼의 핵심 기능 중 하나는 Playbooks로, 개발자가 에이전트의 동작을 제어하기 위해 인라인 Code Blocks라는 Python 코드 조각을 첨부할 수 있게 해줍니다 .

Varonis는 이 Code Blocks가 에이전트 간에 적절히 격리되지 않았다는 사실을 발견했습니다 . 공격 체인은 다음과 같이 진행됩니다.

1. 공격자는 이미 하나의 Code Block 활성화 에이전트에 대해 dialogflow.playbooks.update 권한을 가지고 있어야 합니다 .
2. 이 권한을 가진 공격자는 악성 Playbook 가져오기(import)를 제작할 수 있습니다 .
3. 제작된 악성 Playbook은 공유된 Code Block 런타임 환경에 지속적인 Python 코드를 주입합니다 .
4. 동일한 실행 환경이 같은 Google Cloud 프로젝트 내 여러 에이전트에 서비스를 제공하기 때문에, 공격자의 코드는 공격자가 원래 접근 권한이 없었던 다른 에이전트 내에서도 실행됩니다 .

CVE-2026-4764는 이 문제의 근본 원인인 Playbook 가져오기 기능의 인가 확인 누락을 설명합니다 . 이 취약점의 CVSS 점수는 9.4로, 치명적인 위험 수준으로 분류됩니다 .

공격자가 할 수 있었던 일

악성 코드가 대상 에이전트 내에서 실행되면 공격자는 다음과 같은 행위를 할 수 있었습니다 :

• 실시간 대화 도청: 고객 지원 채팅, 금융 봇 세션, 헬스케어 Assistant 대화 등 손상된 모든 챗봇과의 사용자 실시간 상호작용을 조용히 모니터링할 수 있었습니다.
• 봇 사칭: 공격자가 작성한 메시지를 사용자에게 보내 비밀번호, 보험 정보, 금융 데이터 등 민감한 정보를 공유하도록 속일 수 있었습니다 .
• 에이전트 간 장악: 하나의 손상된 에이전트에서 동일 프로젝트 내 다른 모든 Code Block 활성화 에이전트로 공격 범위를 확장하여, 낮은 권한 역할에서 프로젝트 전체를 장악하는 수준으로 권한을 상승시킬 수 있었습니다 .

공개 및 패치 일정

• 2025년 11월: Varonis가 최초로 문제를 발견했습니다 .
• 2026년 3월 15일: 구글이 Playbook 가져오기 엔드포인트의 인가 누락 취약점(CVE-2026-4764)을 패치했습니다 .
• 2026년 4월: 구글이 '1차 보안 업데이트'를 발표했으나, 이는 문제를 완전히 해결하지 못했습니다 .
• 2026년 6월: 구글이 두 번째 패치를 통해 문제를 완전히 해결했습니다 .

구글은 고객이 별도로 조치를 취할 필요가 없다고 확인했습니다 .

추가로 발견된 약점

Varonis는 Code Block 런타임을 공유하는 에이전트 간의 격리가 근본적으로 부족하다는 점을 지적했습니다 . 가져오기 인가 문제가 수정된 후에도, 단일 에이전트가 손상될 경우 교차 에이전트 코드 실행이 가능한 아키텍처 자체의 문제는 2026년 6월의 두 번째 패치를 통해서야 완전히 해결되었습니다.

또한 구글은 향후 유사한 공격 체인에 사용될 수 있는 프롬프트 인젝션 공격을 탐지하고 차단하는 데 도움이 되는 프롬프트 보안 검사(prompt security check) 설정을 에이전트 구성에 추가했습니다 .

실제로 악용되었는가?

현재까지 이 취약점이 실제 환경에서 악용된 증거는 없습니다 . 구글 클라우드 대변인은 "고객이 피해를 입었다는 알려진 징후는 없으며, 고객의 추가 조치가 필요하지 않습니다"라고 확인했습니다 .

AI 보안에 주는 시사점

'로그 에이전트' 취약점은 많은 AI 에이전트 플랫폼의 기반이 되는 보안 모델이 멀티테넌트(Multi-tenant) 코드 실행 환경의 복잡성을 아직 따라잡지 못했음을 극명하게 보여줍니다. 더 많은 기업이 맞춤형 코드를 실행할 수 있는 대화형 AI 에이전트를 배포함에 따라, 공유 런타임이라는 공격 표면은 중요한 보안 문제가 되고 있습니다.

Dialogflow CX를 사용하는 조직은 프롬프트 보안 검사가 활성화되어 있는지 확인하고 , 이 공격 체인의 시작점이 될 수 있는 dialogflow.playbooks.update 권한을 가진 계정을 면밀히 감사해야 합니다 .