Agent-Zbuntowany (Rogue Agent): Jak krytyczna luka w Dialogflow CX pozwoliła atakującym przejąć cudze chatboty AI

1. Osoba atakująca, która miała już uprawnienie dialogflow.playbooks.update do jednego agenta z włączonym Code Block, mogła spreparować złośliwy import playbooka ^DN.
2. Ten złośliwy playbook wstrzykiwał trwały kod Python do współdzielonego środowiska uruchomieniowego Code Block ^V.
3. Ponieważ to samo środowisko wykonawcze obsługiwało wielu agentów w tym samym projekcie Google Cloud, kod atakującego był następnie wykonywany wewnątrz innych agentów — do których atakujący początkowo nie miał dostępu ^V.

CVE-2026-4764 opisuje główną przyczynę: brak kontroli autoryzacji w funkcji importowania playbooków ^ND. Podatność ma wynik CVSS 9,4, co klasyfikuje ją jako krytyczne ryzyko bezpieczeństwa ^L.

Co atakujący mógł zrobić

Gdy złośliwy kod działał już w agencie ofiary, atakujący mógł ^V:

• Czytać rozmowy na żywo — monitorować w czasie rzeczywistym interakcje użytkowników z dowolnym skompromitowanym chatbotem, w tym czaty obsługi klienta, sesje botów finansowych i dialogi asystentów opieki zdrowotnej.
• Podszywać się pod bota — wysyłać wiadomości napisane przez atakującego, aby oszukać użytkowników i nakłonić ich do podania haseł, danych ubezpieczeniowych, finansowych lub innych wrażliwych informacji ^VA.
• Przechwycić inne agenty — przemieszczać się z jednego skompromitowanego agenta na każdy inny agent z włączonym Code Block w tym samym projekcie, eskalując z roli o niskich uprawnieniach do prawie pełnej kontroli nad projektem ^V.

Harmonogram ujawnienia i łatania

• Listopad 2025 — Varonis początkowo odkrył problem ^A.
• 15 marca 2026 — Google załatał lukę braku autoryzacji (CVE-2026-4764) w punkcie importowania playbooków ^DN.
• Kwiecień 2026 — Google wydał „pierwszą aktualizację zabezpieczeń”, która nie rozwiązała w pełni problemu ^A.
• Czerwiec 2026 — Google w pełni rozwiązał problem drugą łatką ^AA.

Google potwierdził, że klienci nie musieli podejmować żadnych działań w celu zastosowania poprawek ^D.

Dodatkowe słabości

Varonis zidentyfikował, że izolacja między agentami współdzielącymi środowiska uruchomieniowe Code Block była zasadniczo niewystarczająca ^V. Nawet po naprawieniu autoryzacji importu, sama architektura umożliwiała wykonanie kodu krzyżowego między agentami, jeśli jeden agent został skompromitowany — był to problem na poziomie projektowym, który wymagał drugiej poprawki w czerwcu 2026 roku, aby w pełni go rozwiązać.

Google dodał również ustawienie sprawdzania bezpieczeństwa promptu w konfiguracji agenta, aby pomóc wykrywać i blokować ataki polegające na wstrzykiwaniu promptów, które mogłyby być użyte w podobnych łańcuchach ataków w przyszłości ^VD.

Czy luka została wykorzystana?

Nie ma żadnych dowodów na to, że luka została wykorzystana przed wprowadzeniem łatki ^A. Rzecznik Google Cloud potwierdził: „Nie mamy żadnych znanych oznak naruszenia bezpieczeństwa klientów. Żadne działania ze strony klienta nie są wymagane.” ^A

Implikacje dla bezpieczeństwa AI

Luka Rogue Agent jest wyraźnym przypomnieniem, że modele bezpieczeństwa leżące u podstaw wielu platform agentów AI nie nadążają jeszcze za złożonością środowisk wielodostępnych, wykonujących kod. W miarę jak coraz więcej firm wdraża konwersacyjne agenty AI, które mogą uruchamiać niestandardowy kod, powierzchnia ataku związana ze współdzielonym środowiskiem uruchomieniowym staje się krytycznym problemem.

Organizacje korzystające z Dialogflow CX powinny sprawdzić, czy włączone są kontrole bezpieczeństwa promptów ^D i przeprowadzić audyt tożsamości mających uprawnienia dialogflow.playbooks.update — jedno uprawnienie, które mogło zapoczątkować ten łańcuch ataku ^V.