Rogue Agent: Hoe een kritieke kwetsbaarheid in Dialogflow CX AI-chatbots kon laten kapen

Een kritieke keten van kwetsbaarheden in Google Cloud's Dialogflow CX, genaamd Rogue Agent, stelde een aanvaller met alleen bewerkingsrechten op één chatbot in staat om stilletjes gesprekken te kapen, gevoelige gegevens te stelen en elke andere AI-agent in hetzelfde cloudproject te compromitteren.

Beveiligingsbedrijf Varonis Threat Labs ontdekte de fout eind 2025 en werkte samen met Google om deze te patchen voordat er sprake was van bekend misbruik. Dit is wat er gebeurde, hoe het werkte en wat het betekent voor de beveiliging van multi-agent AI-systemen.

Hoe de Rogue Agent-kwetsbaarheid werkte

Dialogflow CX is het vlaggenschipplatform van Google Cloud voor het bouwen van conversationele AI-agents: chatbots en spraakassistenten die door bedrijven worden gebruikt voor klantenservice, financiële diensten en gezondheidszorg . Een belangrijke functie zijn Playbooks, waarmee ontwikkelaars het gedrag van een agent kunnen sturen door er inline Code Blocks aan te koppelen: stukjes Python-code die binnen de agent-pipeline worden uitgevoerd .

Varonis ontdekte dat deze Code Blocks niet goed van elkaar waren geïsoleerd tussen agents . De aanvalsketen verliep als volgt:

1. Een aanvaller die al de dialogflow.playbooks.update-machtiging had voor één agent met Code Blocks, kon een kwaadaardige playbook-import maken .
2. Die kwaadaardige playbook injecteerde persistente Python-code in de gedeelde runtime-omgeving van Code Blocks .
3. Omdat dezelfde onderliggende uitvoeringsomgeving meerdere agents in hetzelfde Google Cloud-project bediende, werd de code van de aanvaller vervolgens uitgevoerd binnen andere agents waartoe de aanvaller oorspronkelijk geen toegang had .

CVE-2026-4764 beschrijft de kernoorzaak: een ontbrekende autorisatiecontrole in de playbook-importfunctionaliteit . De kwetsbaarheid heeft een CVSS-score van 9,4, wat het een kritiek beveiligingsrisico maakt .

Wat een aanvaller kon doen

Zodra de kwaadaardige code actief was in een slachtoffer-agent, kon de aanvaller :

• Live gesprekken meelezen — stilletjes realtime gebruikersinteracties met elke gecompromitteerde chatbot monitoren, waaronder klantenservicegesprekken, financiële chatbot-sessies en dialogen met zorgassistenten.
• Zich voordoen als de chatbot — berichten sturen namens de bot om gebruikers te verleiden wachtwoorden, verzekeringsinformatie, financiële gegevens of andere gevoelige details te delen .
• Cross-agent compromittering — van de ene gecompromitteerde agent overspringen naar elke andere agent met Code Blocks in hetzelfde project, waardoor een aanvaller van een laaggeprivilegieerde rol naar bijna projectbrede controle kon escaleren .

Tijdlijn van melding en patches

• November 2025 — Varonis ontdekte het probleem .
• 15 maart 2026 — Google patchte de ontbrekende-autorisatiekwetsbaarheid (CVE-2026-4764) in de playbook-importendpoint .
• April 2026 — Google bracht een "eerste beveiligingsupdate" uit die het probleem niet volledig oploste .
• Juni 2026 — Google loste het probleem volledig op met een tweede patch .

Google bevestigde dat er geen actie van klanten nodig was voor de patches .

Aanvullende zwakke punten ontdekt

Varonis identificeerde dat de isolatie tussen agents die Code Block-runtimes deelden fundamenteel onvoldoende was . Zelfs na het oplossen van de autorisatie bij het importeren, maakte de architectuur zelf het mogelijk dat code tussen agents werd uitgevoerd als een enkele agent was gecompromitteerd. Dit was een probleem op ontwerpniveau dat pas volledig werd aangepakt met de tweede patch in juni 2026.

Google voegde ook een prompt security check-instelling toe in de agentconfiguratie om prompt-injectieaanvallen te detecteren en te blokkeren die als onderdeel van vergelijkbare aanvalsketens in de toekomst zouden kunnen worden gebruikt .

Is de kwetsbaarheid ooit misbruikt?

Er is geen bewijs dat de kwetsbaarheid ooit in het wild is misbruikt vóór de patch . Een woordvoerder van Google Cloud bevestigde: "We hebben geen aanwijzingen dat klanten zijn gecompromitteerd. Er is geen klantactie vereist."

Gevolgen voor AI-beveiliging

De Rogue Agent-kwetsbaarheid is een duidelijke herinnering dat de beveiligingsmodellen van veel AI-agentplatforms nog niet zijn meegegroeid met de complexiteit van multi-tenant omgevingen die code uitvoeren. Naarmate meer bedrijven conversationele AI-agents inzetten die aangepaste code kunnen draaien, wordt het aanvalsoppervlak van gedeelde runtimes een kritiek punt.

Organisaties die Dialogflow CX gebruiken, moeten controleren of prompt security checks zijn ingeschakeld en controleren welke identiteiten dialogflow.playbooks.update-machtigingen hebben: de enkele machtiging die deze aanvalsketen had kunnen starten .