Rogue Agent: Hoe een kritieke kwetsbaarheid in Dialogflow CX AI-chatbots kon laten kapen

1. Een aanvaller die al de dialogflow.playbooks.update-machtiging had voor één agent met Code Blocks, kon een kwaadaardige playbook-import maken ^DN.
2. Die kwaadaardige playbook injecteerde persistente Python-code in de gedeelde runtime-omgeving van Code Blocks ^V.
3. Omdat dezelfde onderliggende uitvoeringsomgeving meerdere agents in hetzelfde Google Cloud-project bediende, werd de code van de aanvaller vervolgens uitgevoerd binnen andere agents waartoe de aanvaller oorspronkelijk geen toegang had ^V.

CVE-2026-4764 beschrijft de kernoorzaak: een ontbrekende autorisatiecontrole in de playbook-importfunctionaliteit ^ND. De kwetsbaarheid heeft een CVSS-score van 9,4, wat het een kritiek beveiligingsrisico maakt ^L.

Wat een aanvaller kon doen

Zodra de kwaadaardige code actief was in een slachtoffer-agent, kon de aanvaller ^V:

• Live gesprekken meelezen — stilletjes realtime gebruikersinteracties met elke gecompromitteerde chatbot monitoren, waaronder klantenservicegesprekken, financiële chatbot-sessies en dialogen met zorgassistenten.
• Zich voordoen als de chatbot — berichten sturen namens de bot om gebruikers te verleiden wachtwoorden, verzekeringsinformatie, financiële gegevens of andere gevoelige details te delen ^VA.
• Cross-agent compromittering — van de ene gecompromitteerde agent overspringen naar elke andere agent met Code Blocks in hetzelfde project, waardoor een aanvaller van een laaggeprivilegieerde rol naar bijna projectbrede controle kon escaleren ^V.

Tijdlijn van melding en patches

• November 2025 — Varonis ontdekte het probleem ^A.
• 15 maart 2026 — Google patchte de ontbrekende-autorisatiekwetsbaarheid (CVE-2026-4764) in de playbook-importendpoint ^DN.
• April 2026 — Google bracht een "eerste beveiligingsupdate" uit die het probleem niet volledig oploste ^A.
• Juni 2026 — Google loste het probleem volledig op met een tweede patch ^AA.

Google bevestigde dat er geen actie van klanten nodig was voor de patches ^D.

Aanvullende zwakke punten ontdekt

Varonis identificeerde dat de isolatie tussen agents die Code Block-runtimes deelden fundamenteel onvoldoende was ^V. Zelfs na het oplossen van de autorisatie bij het importeren, maakte de architectuur zelf het mogelijk dat code tussen agents werd uitgevoerd als een enkele agent was gecompromitteerd. Dit was een probleem op ontwerpniveau dat pas volledig werd aangepakt met de tweede patch in juni 2026.

Google voegde ook een prompt security check-instelling toe in de agentconfiguratie om prompt-injectieaanvallen te detecteren en te blokkeren die als onderdeel van vergelijkbare aanvalsketens in de toekomst zouden kunnen worden gebruikt ^VD.

Is de kwetsbaarheid ooit misbruikt?

Er is geen bewijs dat de kwetsbaarheid ooit in het wild is misbruikt vóór de patch ^A. Een woordvoerder van Google Cloud bevestigde: "We hebben geen aanwijzingen dat klanten zijn gecompromitteerd. Er is geen klantactie vereist." ^A

Gevolgen voor AI-beveiliging

De Rogue Agent-kwetsbaarheid is een duidelijke herinnering dat de beveiligingsmodellen van veel AI-agentplatforms nog niet zijn meegegroeid met de complexiteit van multi-tenant omgevingen die code uitvoeren. Naarmate meer bedrijven conversationele AI-agents inzetten die aangepaste code kunnen draaien, wordt het aanvalsoppervlak van gedeelde runtimes een kritiek punt.

Organisaties die Dialogflow CX gebruiken, moeten controleren of prompt security checks zijn ingeschakeld ^D en controleren welke identiteiten dialogflow.playbooks.update-machtigingen hebben: de enkele machtiging die deze aanvalsketen had kunnen starten ^V.