Agent-Zbuntowany (Rogue Agent): Jak krytyczna luka w Dialogflow CX pozwoliła atakującym przejąć cudze chatboty AI
Luka 'Rogue Agent' (CVE 2026 4764) to łańcuch eskalacji uprawnień w Google Cloud Dialogflow CX, który pozwalał atakującemu z uprawnieniami edycyjnymi na jednym agencie na wstrzyknięcie złośliwego kodu Python do współd... Firma Varonis odkryła problem w listopadzie 2025.
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
Luka 'Rogue Agent' (CVE 2026 4764) to łańcuch eskalacji uprawnień w Google Cloud Dialogflow CX, który pozwalał atakującemu z uprawnieniami edycyjnymi na jednym agencie na wstrzyknięcie złośliwego kodu Python do współd...
Firma Varonis odkryła problem w listopadzie 2025. Google wydał pierwszą łatkę w marcu 2026 (CVE 2026 4764), a pełną poprawkę w czerwcu 2026.
Search & fact-check with cited sources for What was the "Rogue Agent" vulnerability disclosed by Varonis Threat Labs in Google Cloud's DialoThe Rogue Agent vulnerability allowed attackers to inject malicious code into shared AI agent runtimes, enabling cross-agent compromise and data theft.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What was the "Rogue Agent" vulnerability disclosed by Varonis Threat Labs in Google Cloud's Dialo. Article summary: **Answer:** The "Rogue Agent" vulnerability was a critical privilege-escalation chain in Google Cloud's Dialogflow CX that let an attacker with edit rights on one agent inject malicious Python code into shared Playbook C. Topic tags: general, government, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text,
openai.com
Krytyczny łańcuch podatności w Google Cloud Dialogflow CX, nazwany Rogue Agent (Agent-Zbuntowany), mógł pozwolić atakującemu posiadającemu jedynie uprawnienia do edycji pojedynczego agenta na ciche przejęcie rozmów, kradzież wrażliwych danych i skompromitowanie każdego innego agenta AI w tym samym projekcie w chmurze.
Firma Varonis Threat Labs odkryła tę lukę pod koniec 2025 roku i współpracowała z Google nad jej łataniem, zanim doszło do jakiegokolwiek znanego wykorzystania. Oto, co się wydarzyło, jak to działało i co oznacza dla bezpieczeństwa wieloagentowych systemów AI.
Jak działała luka Rogue Agent
Dialogflow CX to flagowa platforma Google Cloud do budowania konwersacyjnych agentów AI — chatbotów i asystentów głosowych używanych przez przedsiębiorstwa do obsługi klienta, usług finansowych i opieki zdrowotnej . Kluczową funkcją są Playbooks, które pozwalają programistom kontrolować zachowanie agenta poprzez dołączanie wbudowanych Code Blocks — fragmentów kodu Python uruchamianych w potoku agenta .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Agent-Zbuntowany (Rogue Agent): Jak krytyczna luka w Dialogflow CX pozwoliła atakującym przejąć cudze chatboty AI"?
Luka 'Rogue Agent' (CVE 2026 4764) to łańcuch eskalacji uprawnień w Google Cloud Dialogflow CX, który pozwalał atakującemu z uprawnieniami edycyjnymi na jednym agencie na wstrzyknięcie złośliwego kodu Python do współd...
What are the key points to validate first?
Luka 'Rogue Agent' (CVE 2026 4764) to łańcuch eskalacji uprawnień w Google Cloud Dialogflow CX, który pozwalał atakującemu z uprawnieniami edycyjnymi na jednym agencie na wstrzyknięcie złośliwego kodu Python do współd... Firma Varonis odkryła problem w listopadzie 2025. Google wydał pierwszą łatkę w marcu 2026 (CVE 2026 4764), a pełną poprawkę w czerwcu 2026.
Agent-Zbuntowany (Rogue Agent): Jak krytyczna luka w Dialogflow CX pozwoliła atakującym przejąć cudze chatboty AI
Luka 'Rogue Agent' (CVE 2026 4764) to łańcuch eskalacji uprawnień w Google Cloud Dialogflow CX, który pozwalał atakującemu z uprawnieniami edycyjnymi na jednym agencie na wstrzyknięcie złośliwego kodu Python do współd... Firma Varonis odkryła problem w listopadzie 2025.
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
Luka 'Rogue Agent' (CVE 2026 4764) to łańcuch eskalacji uprawnień w Google Cloud Dialogflow CX, który pozwalał atakującemu z uprawnieniami edycyjnymi na jednym agencie na wstrzyknięcie złośliwego kodu Python do współd...
Firma Varonis odkryła problem w listopadzie 2025. Google wydał pierwszą łatkę w marcu 2026 (CVE 2026 4764), a pełną poprawkę w czerwcu 2026.
Search & fact-check with cited sources for What was the "Rogue Agent" vulnerability disclosed by Varonis Threat Labs in Google Cloud's DialoThe Rogue Agent vulnerability allowed attackers to inject malicious code into shared AI agent runtimes, enabling cross-agent compromise and data theft.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What was the "Rogue Agent" vulnerability disclosed by Varonis Threat Labs in Google Cloud's Dialo. Article summary: **Answer:** The "Rogue Agent" vulnerability was a critical privilege-escalation chain in Google Cloud's Dialogflow CX that let an attacker with edit rights on one agent inject malicious Python code into shared Playbook C. Topic tags: general, government, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text,
openai.com
Krytyczny łańcuch podatności w Google Cloud Dialogflow CX, nazwany Rogue Agent (Agent-Zbuntowany), mógł pozwolić atakującemu posiadającemu jedynie uprawnienia do edycji pojedynczego agenta na ciche przejęcie rozmów, kradzież wrażliwych danych i skompromitowanie każdego innego agenta AI w tym samym projekcie w chmurze.
Firma Varonis Threat Labs odkryła tę lukę pod koniec 2025 roku i współpracowała z Google nad jej łataniem, zanim doszło do jakiegokolwiek znanego wykorzystania. Oto, co się wydarzyło, jak to działało i co oznacza dla bezpieczeństwa wieloagentowych systemów AI.
Jak działała luka Rogue Agent
Dialogflow CX to flagowa platforma Google Cloud do budowania konwersacyjnych agentów AI — chatbotów i asystentów głosowych używanych przez przedsiębiorstwa do obsługi klienta, usług finansowych i opieki zdrowotnej . Kluczową funkcją są Playbooks, które pozwalają programistom kontrolować zachowanie agenta poprzez dołączanie wbudowanych Code Blocks — fragmentów kodu Python uruchamianych w potoku agenta .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Agent-Zbuntowany (Rogue Agent): Jak krytyczna luka w Dialogflow CX pozwoliła atakującym przejąć cudze chatboty AI"?
Luka 'Rogue Agent' (CVE 2026 4764) to łańcuch eskalacji uprawnień w Google Cloud Dialogflow CX, który pozwalał atakującemu z uprawnieniami edycyjnymi na jednym agencie na wstrzyknięcie złośliwego kodu Python do współd...
What are the key points to validate first?
Luka 'Rogue Agent' (CVE 2026 4764) to łańcuch eskalacji uprawnień w Google Cloud Dialogflow CX, który pozwalał atakującemu z uprawnieniami edycyjnymi na jednym agencie na wstrzyknięcie złośliwego kodu Python do współd... Firma Varonis odkryła problem w listopadzie 2025. Google wydał pierwszą łatkę w marcu 2026 (CVE 2026 4764), a pełną poprawkę w czerwcu 2026.
Varonis odkrył, że te Code Blocks nie miały odpowiedniej izolacji między agentami . Łańcuch ataku wyglądał następująco:
Osoba atakująca, która miała już uprawnienie dialogflow.playbooks.update do jednego agenta z włączonym Code Block, mogła spreparować złośliwy import playbooka .
Ten złośliwy playbook wstrzykiwał trwały kod Python do współdzielonego środowiska uruchomieniowego Code Block .
Ponieważ to samo środowisko wykonawcze obsługiwało wielu agentów w tym samym projekcie Google Cloud, kod atakującego był następnie wykonywany wewnątrz innych agentów — do których atakujący początkowo nie miał dostępu .
CVE-2026-4764 opisuje główną przyczynę: brak kontroli autoryzacji w funkcji importowania playbooków . Podatność ma wynik CVSS 9,4, co klasyfikuje ją jako krytyczne ryzyko bezpieczeństwa .
Co atakujący mógł zrobić
Gdy złośliwy kod działał już w agencie ofiary, atakujący mógł :
Czytać rozmowy na żywo — monitorować w czasie rzeczywistym interakcje użytkowników z dowolnym skompromitowanym chatbotem, w tym czaty obsługi klienta, sesje botów finansowych i dialogi asystentów opieki zdrowotnej.
Podszywać się pod bota — wysyłać wiadomości napisane przez atakującego, aby oszukać użytkowników i nakłonić ich do podania haseł, danych ubezpieczeniowych, finansowych lub innych wrażliwych informacji .
Przechwycić inne agenty — przemieszczać się z jednego skompromitowanego agenta na każdy inny agent z włączonym Code Block w tym samym projekcie, eskalując z roli o niskich uprawnieniach do prawie pełnej kontroli nad projektem .
Harmonogram ujawnienia i łatania
Listopad 2025 — Varonis początkowo odkrył problem .
15 marca 2026 — Google załatał lukę braku autoryzacji (CVE-2026-4764) w punkcie importowania playbooków .
Kwiecień 2026 — Google wydał „pierwszą aktualizację zabezpieczeń”, która nie rozwiązała w pełni problemu .
Czerwiec 2026 — Google w pełni rozwiązał problem drugą łatką .
Google potwierdził, że klienci nie musieli podejmować żadnych działań w celu zastosowania poprawek .
Dodatkowe słabości
Varonis zidentyfikował, że izolacja między agentami współdzielącymi środowiska uruchomieniowe Code Block była zasadniczo niewystarczająca . Nawet po naprawieniu autoryzacji importu, sama architektura umożliwiała wykonanie kodu krzyżowego między agentami, jeśli jeden agent został skompromitowany — był to problem na poziomie projektowym, który wymagał drugiej poprawki w czerwcu 2026 roku, aby w pełni go rozwiązać.
Google dodał również ustawienie sprawdzania bezpieczeństwa promptu w konfiguracji agenta, aby pomóc wykrywać i blokować ataki polegające na wstrzykiwaniu promptów, które mogłyby być użyte w podobnych łańcuchach ataków w przyszłości .
Czy luka została wykorzystana?
Nie ma żadnych dowodów na to, że luka została wykorzystana przed wprowadzeniem łatki. Rzecznik Google Cloud potwierdził: „Nie mamy żadnych znanych oznak naruszenia bezpieczeństwa klientów. Żadne działania ze strony klienta nie są wymagane.”
Implikacje dla bezpieczeństwa AI
Luka Rogue Agent jest wyraźnym przypomnieniem, że modele bezpieczeństwa leżące u podstaw wielu platform agentów AI nie nadążają jeszcze za złożonością środowisk wielodostępnych, wykonujących kod. W miarę jak coraz więcej firm wdraża konwersacyjne agenty AI, które mogą uruchamiać niestandardowy kod, powierzchnia ataku związana ze współdzielonym środowiskiem uruchomieniowym staje się krytycznym problemem.
Organizacje korzystające z Dialogflow CX powinny sprawdzić, czy włączone są kontrole bezpieczeństwa promptów i przeprowadzić audyt tożsamości mających uprawnienia dialogflow.playbooks.update — jedno uprawnienie, które mogło zapoczątkować ten łańcuch ataku .
Varonis odkrył, że te Code Blocks nie miały odpowiedniej izolacji między agentami . Łańcuch ataku wyglądał następująco:
Osoba atakująca, która miała już uprawnienie dialogflow.playbooks.update do jednego agenta z włączonym Code Block, mogła spreparować złośliwy import playbooka .
Ten złośliwy playbook wstrzykiwał trwały kod Python do współdzielonego środowiska uruchomieniowego Code Block .
Ponieważ to samo środowisko wykonawcze obsługiwało wielu agentów w tym samym projekcie Google Cloud, kod atakującego był następnie wykonywany wewnątrz innych agentów — do których atakujący początkowo nie miał dostępu .
CVE-2026-4764 opisuje główną przyczynę: brak kontroli autoryzacji w funkcji importowania playbooków . Podatność ma wynik CVSS 9,4, co klasyfikuje ją jako krytyczne ryzyko bezpieczeństwa .
Co atakujący mógł zrobić
Gdy złośliwy kod działał już w agencie ofiary, atakujący mógł :
Czytać rozmowy na żywo — monitorować w czasie rzeczywistym interakcje użytkowników z dowolnym skompromitowanym chatbotem, w tym czaty obsługi klienta, sesje botów finansowych i dialogi asystentów opieki zdrowotnej.
Podszywać się pod bota — wysyłać wiadomości napisane przez atakującego, aby oszukać użytkowników i nakłonić ich do podania haseł, danych ubezpieczeniowych, finansowych lub innych wrażliwych informacji .
Przechwycić inne agenty — przemieszczać się z jednego skompromitowanego agenta na każdy inny agent z włączonym Code Block w tym samym projekcie, eskalując z roli o niskich uprawnieniach do prawie pełnej kontroli nad projektem .
Harmonogram ujawnienia i łatania
Listopad 2025 — Varonis początkowo odkrył problem .
15 marca 2026 — Google załatał lukę braku autoryzacji (CVE-2026-4764) w punkcie importowania playbooków .
Kwiecień 2026 — Google wydał „pierwszą aktualizację zabezpieczeń”, która nie rozwiązała w pełni problemu .
Czerwiec 2026 — Google w pełni rozwiązał problem drugą łatką .
Google potwierdził, że klienci nie musieli podejmować żadnych działań w celu zastosowania poprawek .
Dodatkowe słabości
Varonis zidentyfikował, że izolacja między agentami współdzielącymi środowiska uruchomieniowe Code Block była zasadniczo niewystarczająca . Nawet po naprawieniu autoryzacji importu, sama architektura umożliwiała wykonanie kodu krzyżowego między agentami, jeśli jeden agent został skompromitowany — był to problem na poziomie projektowym, który wymagał drugiej poprawki w czerwcu 2026 roku, aby w pełni go rozwiązać.
Google dodał również ustawienie sprawdzania bezpieczeństwa promptu w konfiguracji agenta, aby pomóc wykrywać i blokować ataki polegające na wstrzykiwaniu promptów, które mogłyby być użyte w podobnych łańcuchach ataków w przyszłości .
Czy luka została wykorzystana?
Nie ma żadnych dowodów na to, że luka została wykorzystana przed wprowadzeniem łatki. Rzecznik Google Cloud potwierdził: „Nie mamy żadnych znanych oznak naruszenia bezpieczeństwa klientów. Żadne działania ze strony klienta nie są wymagane.”
Implikacje dla bezpieczeństwa AI
Luka Rogue Agent jest wyraźnym przypomnieniem, że modele bezpieczeństwa leżące u podstaw wielu platform agentów AI nie nadążają jeszcze za złożonością środowisk wielodostępnych, wykonujących kod. W miarę jak coraz więcej firm wdraża konwersacyjne agenty AI, które mogą uruchamiać niestandardowy kod, powierzchnia ataku związana ze współdzielonym środowiskiem uruchomieniowym staje się krytycznym problemem.
Organizacje korzystające z Dialogflow CX powinny sprawdzić, czy włączone są kontrole bezpieczeństwa promptów i przeprowadzić audyt tożsamości mających uprawnienia dialogflow.playbooks.update — jedno uprawnienie, które mogło zapoczątkować ten łańcuch ataku .
