Rogue Agent: Kritisk sårbarhet i Googles Dialogflow CX – kunne la hackere kapre AI-agenter

En kritisk sårbarhetskjede i Googles Dialogflow CX, kalt Rogue Agent, kunne ha gjort det mulig for en angriper med kun redigeringstilgang til én enkelt chatbot-agent å stille kapre samtaler, stjele sensitive data og kompromittere alle andre AI-agenter i samme Google Cloud-prosjekt.

Sikkerhetsselskapet Varonis Threat Labs oppdaget feilen i slutten av 2025 og samarbeidet med Google for å rette den før noen kjent utnyttelse fant sted. Her er hva som skjedde, hvordan det fungerte, og hva det betyr for sikkerheten til multi-agent AI-systemer.

Hvordan Rogue Agent-sårbarheten fungerte

Dialogflow CX er Googles flaggskipplattform for å bygge konversasjonelle AI-agenter – chatbots og taleassistenter som bedrifter bruker til kundestøtte, finansielle tjenester og helsevesen ^A. En nøkkelfunksjon er Playbooks, som lar utviklere styre agentens oppførsel ved å legge ved innebygde Code Blocks – Python-kodesnutter som kjøres inne i agentens pipeline ^TD.

Varonis oppdaget at disse Code Blocks manglet tilstrekkelig isolasjon mellom agenter ^V. Angrepskjeden fungerte som følger:

1. En angriper som allerede hadde dialogflow.playbooks.update-tilgang på én kode-blokk-aktivert agent, kunne lage en ondsinnet playbook-import ^DN.
2. Den ondsinnede playbooken injiserte persistent Python-kode i det delte Code Block-kjøringsmiljøet ^V.
3. Fordi samme underliggende kjøringsmiljø betjente flere agenter i samme Google Cloud-prosjekt, ville angriperens kode deretter kjøre inne i andre agenter – agenter som angriperen opprinnelig ikke hadde tilgang til ^V.

CVE-2026-4764 beskriver selve roten til problemet: en manglende autorisasjonssjekk i playbook-importfunksjonaliteten ^ND. Sårbarheten har en CVSS-score på 9,4, noe som gjør den til en kritisk sikkerhetsrisiko ^L.

Hva en angriper kunne gjøre

Når den ondsinnede koden først kjørte inne i en offer-agent, kunne angriperen ^V:

• Avlytte live-samtaler – stille overvåke sanntids brukerinteraksjoner med kompromitterte chatboter, inkludert kundestøtte-chatter, samtaler med finansielle boter og helseassistenter.
• Etterligne boten – sende meldinger som så ut til å være fra boten for å lure brukere til å oppgi passord, forsikringsinformasjon, finansiell data eller andre sensitive detaljer ^VA.
• Kryss-agent-kompromittering – bevege seg fra én kompromittert agent til alle andre kode-blokk-aktiverte agenter i samme prosjekt, og eskalere fra en lavprivilegert rolle til nesten prosjektomfattende kontroll ^V.

Tidslinje for avsløring og lapping

• November 2025 – Varonis oppdaget i utgangspunktet problemet ^A.
• 15. mars 2026 – Google lappet autorisasjonssårbarheten (CVE-2026-4764) i playbook-importendepunktet ^DN.
• April 2026 – Google ga ut en "første sikkerhetsoppdatering" som ikke fullstendig løste problemet ^A.
• Juni 2026 – Google løste problemet fullstendig med en andre lapp ^AA.

Google bekreftet at ingen kundehandling var nødvendig for lappene ^D.

Ytterligere svakheter avdekket

Varonis identifiserte at isoleringen mellom agenter som deler Code Block-kjøringsmiljøer var fundamentalt utilstrekkelig ^V. Selv etter å ha fikset import-autorisasjonen, lot arkitekturen i seg selv kode kjøres på tvers av agenter hvis én enkelt agent ble kompromittert – et designproblem som krevde den andre lappen i juni 2026 for å bli fullstendig adressert.

Google la også til en sikkerhetssjekk for prompt i agentkonfigurasjonen for å hjelpe med å oppdage og blokkere prompt-injeksjonsangrep som kunne brukes som en del av lignende utnyttelseskjeder i fremtiden ^VD.

Ble det noen gang utnyttet?

Det er ingen bevis for at sårbarheten ble utnyttet i naturen før lappen ^A. En talsperson for Google Cloud bekreftet: "Vi har ingen kjent indikasjon på at kunder er kompromittert. Ingen kundehandling er nødvendig." ^A

Implikasjoner for AI-sikkerhet

Rogue Agent-sårbarheten er en sterk påminnelse om at sikkerhetsmodellene som ligger til grunn for mange AI-agentplattformer, ikke har holdt tritt med kompleksiteten til flerbruker-, kodekjøringsmiljøer. Etter hvert som flere bedrifter tar i bruk konversasjonelle AI-agenter som kan kjøre tilpasset kode, blir det delte kjøringsmiljøet en kritisk angrepsflate.

Organisasjoner som bruker Dialogflow CX, bør verifisere at prompt-sikkerhetssjekker er aktivert ^D og revidere hvilke identiteter som har dialogflow.playbooks.update-tilgang – den ene tilgangen som kunne ha startet denne angrepskjeden ^V.