Rogue Agent: Kritisk sårbarhet i Googles Dialogflow CX – kunne la hackere kapre AI-agenter

CVE-2026-4764 beskriver selve roten til problemet: en manglende autorisasjonssjekk i playbook-importfunksjonaliteten . Sårbarheten har en CVSS-score på 9,4, noe som gjør den til en kritisk sikkerhetsrisiko .

Hva en angriper kunne gjøre

Når den ondsinnede koden først kjørte inne i en offer-agent, kunne angriperen :

• Avlytte live-samtaler – stille overvåke sanntids brukerinteraksjoner med kompromitterte chatboter, inkludert kundestøtte-chatter, samtaler med finansielle boter og helseassistenter.
• Etterligne boten – sende meldinger som så ut til å være fra boten for å lure brukere til å oppgi passord, forsikringsinformasjon, finansiell data eller andre sensitive detaljer .
• Kryss-agent-kompromittering – bevege seg fra én kompromittert agent til alle andre kode-blokk-aktiverte agenter i samme prosjekt, og eskalere fra en lavprivilegert rolle til nesten prosjektomfattende kontroll .

Tidslinje for avsløring og lapping

• November 2025 – Varonis oppdaget i utgangspunktet problemet .
• 15. mars 2026 – Google lappet autorisasjonssårbarheten (CVE-2026-4764) i playbook-importendepunktet .
• April 2026 – Google ga ut en "første sikkerhetsoppdatering" som ikke fullstendig løste problemet .
• Juni 2026 – Google løste problemet fullstendig med en andre lapp .

Google bekreftet at ingen kundehandling var nødvendig for lappene .

Ytterligere svakheter avdekket

Varonis identifiserte at isoleringen mellom agenter som deler Code Block-kjøringsmiljøer var fundamentalt utilstrekkelig . Selv etter å ha fikset import-autorisasjonen, lot arkitekturen i seg selv kode kjøres på tvers av agenter hvis én enkelt agent ble kompromittert – et designproblem som krevde den andre lappen i juni 2026 for å bli fullstendig adressert.

Google la også til en sikkerhetssjekk for prompt i agentkonfigurasjonen for å hjelpe med å oppdage og blokkere prompt-injeksjonsangrep som kunne brukes som en del av lignende utnyttelseskjeder i fremtiden .

Ble det noen gang utnyttet?

Det er ingen bevis for at sårbarheten ble utnyttet i naturen før lappen . En talsperson for Google Cloud bekreftet: "Vi har ingen kjent indikasjon på at kunder er kompromittert. Ingen kundehandling er nødvendig."

Implikasjoner for AI-sikkerhet

Rogue Agent-sårbarheten er en sterk påminnelse om at sikkerhetsmodellene som ligger til grunn for mange AI-agentplattformer, ikke har holdt tritt med kompleksiteten til flerbruker-, kodekjøringsmiljøer. Etter hvert som flere bedrifter tar i bruk konversasjonelle AI-agenter som kan kjøre tilpasset kode, blir det delte kjøringsmiljøet en kritisk angrepsflate.

Organisasjoner som bruker Dialogflow CX, bør verifisere at prompt-sikkerhetssjekker er aktivert og revidere hvilke identiteter som har dialogflow.playbooks.update-tilgang – den ene tilgangen som kunne ha startet denne angrepskjeden .