Rogue Agent: Kelemahan Kritikal Dialogflow CX Benarkan Perampasan Rentas-Agen AI

Satu rantaian kelemahan kritikal dalam Dialogflow CX, platform AI perbualan utama Google Cloud, yang digelar Rogue Agent, boleh membenarkan penyerang yang hanya mempunyai kebenaran edit pada satu agen chatbots untuk secara senyap merampas perbualan, mencuri data sensitif dan menjejaskan setiap agen AI lain dalam projek awan yang sama ^V.

Firma keselamatan Varonis Threat Labs menemui kelemahan ini pada akhir tahun 2025 dan bekerjasama dengan Google untuk membetulkannya sebelum sebarang eksploitasi diketahui berlaku. Berikut adalah apa yang berlaku, bagaimana ia berfungsi, dan apa maksudnya untuk keselamatan sistem AI berbilang agen.

Bagaimana Kelemahan Rogue Agent Berfungsi

Dialogflow CX adalah platform utama Google Cloud untuk membina ejen AI perbualan — chatbots dan pembantu suara yang digunakan oleh perusahaan untuk sokongan pelanggan, perkhidmatan kewangan, dan penjagaan kesihatan ^A. Ciri utama adalah Playbooks, yang membolehkan pembangun mengawal tingkah laku ejen dengan melampirkan Code Blocks — coretan kod Python yang berjalan dalam saluran paip ejen ^TD.

Varonis mendapati bahawa Code Blocks ini tidak mempunyai pengasingan yang betul antara ejen ^V. Rantaian serangan berfungsi seperti berikut:

1. Penyerang yang sudah mempunyai kebenaran dialogflow.playbooks.update pada satu ejen yang didayakan Code Block boleh mencipta import playbook berniat jahat ^DN.
2. Playbook berniat jahat itu menyuntik kod Python berterusan ke dalam persekitaran runtime Code Block yang dikongsi ^V.
3. Kerana persekitaran pelaksanaan asas yang sama melayani pelbagai ejen dalam projek Google Cloud yang sama, kod penyerang kemudiannya akan dilaksanakan di dalam ejen lain — ejen yang pada asalnya tidak dapat diakses oleh penyerang ^V.

CVE-2026-4764 menerangkan punca utama: kekurangan pemeriksaan kebenaran dalam fungsi import playbook ^ND. Kelemahan ini membawa skor CVSS 9.4, menandakannya sebagai risiko keselamatan kritikal ^L.

Apa yang Boleh Dilakukan oleh Penyerang

Setelah kod berniat jahat berjalan di dalam ejen mangsa, penyerang boleh ^V:

• Membaca perbualan secara langsung — memantau secara senyap interaksi pengguna masa nyata dengan mana-mana chatbot yang terjejas, termasuk sembang sokongan pelanggan, sesi bot kewangan, dan dialog pembantu penjagaan kesihatan.
• Menyamar sebagai bot — menghantar mesej yang ditulis oleh penyerang untuk menipu pengguna supaya berkongsi kata laluan, maklumat insurans, data kewangan, atau butiran sensitif lain ^VA.
• Kompromi rentas-ejen — beralih dari satu ejen yang terjejas ke setiap ejen lain yang didayakan Code Block dalam projek yang sama, meningkat dari peranan keistimewaan rendah ke kawalan hampir seluruh projek ^V.

Garis Masa Pendedahan dan Pembetulan

• November 2025 — Varonis pada mulanya menemui isu ini ^A.
• 15 Mac 2026 — Google membetulkan kelemahan kekurangan kebenaran (CVE-2026-4764) di titik akhir import playbook ^DN.
• April 2026 — Google mengeluarkan "kemas kini keselamatan pertama" yang tidak menyelesaikan masalah sepenuhnya ^A.
• Jun 2026 — Google menyelesaikan isu sepenuhnya dengan tampalan kedua ^AA.

Google mengesahkan bahawa tiada tindakan pelanggan diperlukan untuk tampalan ini ^D.

Kelemahan Tambahan yang Ditemui

Varonis mengenal pasti bahawa pengasingan antara ejen yang berkongsi runtime Code Block pada asasnya tidak mencukupi ^V. Walaupun selepas membetulkan kebenaran import, seni bina itu sendiri membenarkan pelaksanaan kod rentas-ejen jika mana-mana ejen tunggal terjejas — isu peringkat reka bentuk yang memerlukan tampalan kedua pada Jun 2026 untuk ditangani sepenuhnya.

Google juga menambahkan tetapan pemeriksaan keselamatan prompt dalam konfigurasi ejen untuk membantu mengesan dan menyekat serangan suntikan prompt yang boleh digunakan sebagai sebahagian daripada rantaian eksploitasi serupa pada masa hadapan ^VD.

Adakah Ia Pernah Dieksploitasi?

Tiada bukti kelemahan ini pernah dieksploitasi secara meluas sebelum tampalan ^A. Juruucapak Google Cloud mengesahkan: "Kami tidak mempunyai petunjuk kompromi pelanggan yang diketahui. Tiada tindakan pelanggan diperlukan." ^A

Implikasi untuk Keselamatan AI

Kelemahan Rogue Agent adalah peringatan yang jelas bahawa model keselamatan yang mendasari banyak platform ejen AI belum lagi mengejar kerumitan persekitaran pelaksanaan kod berbilang penyewa. Apabila semakin banyak perusahaan menggunakan ejen AI perbualan yang boleh menjalankan kod tersuai, permukaan serangan runtime yang dikongsi menjadi kebimbangan kritikal.

Organisasi yang menggunakan Dialogflow CX harus mengesahkan bahawa pemeriksaan keselamatan prompt diaktifkan ^D dan mengaudit identiti yang mempunyai kebenaran dialogflow.playbooks.update — satu-satunya kebenaran yang boleh memulakan rantaian serangan ini ^V.