Agent-Zbuntowany (Rogue Agent): Jak krytyczna luka w Dialogflow CX pozwoliła atakującym przejąć cudze chatboty AI

CVE-2026-4764 opisuje główną przyczynę: brak kontroli autoryzacji w funkcji importowania playbooków . Podatność ma wynik CVSS 9,4, co klasyfikuje ją jako krytyczne ryzyko bezpieczeństwa .

Co atakujący mógł zrobić

Gdy złośliwy kod działał już w agencie ofiary, atakujący mógł :

• Czytać rozmowy na żywo — monitorować w czasie rzeczywistym interakcje użytkowników z dowolnym skompromitowanym chatbotem, w tym czaty obsługi klienta, sesje botów finansowych i dialogi asystentów opieki zdrowotnej.
• Podszywać się pod bota — wysyłać wiadomości napisane przez atakującego, aby oszukać użytkowników i nakłonić ich do podania haseł, danych ubezpieczeniowych, finansowych lub innych wrażliwych informacji .
• Przechwycić inne agenty — przemieszczać się z jednego skompromitowanego agenta na każdy inny agent z włączonym Code Block w tym samym projekcie, eskalując z roli o niskich uprawnieniach do prawie pełnej kontroli nad projektem .

Harmonogram ujawnienia i łatania

• Listopad 2025 — Varonis początkowo odkrył problem .
• 15 marca 2026 — Google załatał lukę braku autoryzacji (CVE-2026-4764) w punkcie importowania playbooków .
• Kwiecień 2026 — Google wydał „pierwszą aktualizację zabezpieczeń”, która nie rozwiązała w pełni problemu .
• Czerwiec 2026 — Google w pełni rozwiązał problem drugą łatką .

Google potwierdził, że klienci nie musieli podejmować żadnych działań w celu zastosowania poprawek .

Dodatkowe słabości

Varonis zidentyfikował, że izolacja między agentami współdzielącymi środowiska uruchomieniowe Code Block była zasadniczo niewystarczająca . Nawet po naprawieniu autoryzacji importu, sama architektura umożliwiała wykonanie kodu krzyżowego między agentami, jeśli jeden agent został skompromitowany — był to problem na poziomie projektowym, który wymagał drugiej poprawki w czerwcu 2026 roku, aby w pełni go rozwiązać.

Google dodał również ustawienie sprawdzania bezpieczeństwa promptu w konfiguracji agenta, aby pomóc wykrywać i blokować ataki polegające na wstrzykiwaniu promptów, które mogłyby być użyte w podobnych łańcuchach ataków w przyszłości .

Czy luka została wykorzystana?

Nie ma żadnych dowodów na to, że luka została wykorzystana przed wprowadzeniem łatki . Rzecznik Google Cloud potwierdził: „Nie mamy żadnych znanych oznak naruszenia bezpieczeństwa klientów. Żadne działania ze strony klienta nie są wymagane.”

Implikacje dla bezpieczeństwa AI

Luka Rogue Agent jest wyraźnym przypomnieniem, że modele bezpieczeństwa leżące u podstaw wielu platform agentów AI nie nadążają jeszcze za złożonością środowisk wielodostępnych, wykonujących kod. W miarę jak coraz więcej firm wdraża konwersacyjne agenty AI, które mogą uruchamiać niestandardowy kod, powierzchnia ataku związana ze współdzielonym środowiskiem uruchomieniowym staje się krytycznym problemem.

Organizacje korzystające z Dialogflow CX powinny sprawdzić, czy włączone są kontrole bezpieczeństwa promptów i przeprowadzić audyt tożsamości mających uprawnienia dialogflow.playbooks.update — jedno uprawnienie, które mogło zapoczątkować ten łańcuch ataku .