Agente Desonesto: Como uma Vulnerabilidade Crítica no Dialogflow CX Permitia Sequestro entre Agentes de IA

Uma cadeia de vulnerabilidades crítica no Dialogflow CX do Google Cloud, apelidada de Rogue Agent, poderia permitir que um invasor, com apenas permissões de edição em um único agente de chatbot, sequestrasse conversas silenciosamente, roubasse dados confidenciais e comprometesse todos os outros agentes de IA no mesmo projeto de nuvem.

A empresa de segurança Varonis Threat Labs descobriu a falha no final de 2025 e trabalhou com o Google para corrigi-la antes que qualquer exploração conhecida ocorresse. Veja o que aconteceu, como funcionava e o que isso significa para a segurança de sistemas de IA com múltiplos agentes.

Como a Vulnerabilidade Rogue Agent Funcionava

O Dialogflow CX é a plataforma principal do Google Cloud para a criação de agentes de IA conversacionais — chatbots e assistentes de voz usados por empresas para suporte ao cliente, serviços financeiros e saúde . Um recurso-chave são os Playbooks, que permitem que desenvolvedores controlem o comportamento do agente anexando Blocos de Código — trechos de código Python que são executados dentro do pipeline do agente .

A Varonis descobriu que esses Blocos de Código careciam de isolamento adequado entre os agentes . A cadeia de ataque funcionava da seguinte forma:

1. Um atacante que já tivesse a permissão dialogflow.playbooks.update em um agente com Bloco de Código poderia criar uma importação de playbook maliciosa .
2. Esse playbook malicioso injetava código Python persistente no ambiente de execução compartilhado dos Blocos de Código .
3. Como o mesmo ambiente de execução subjacente atendia a vários agentes no mesmo projeto do Google Cloud, o código do atacante seria executado dentro de outros agentes — agentes aos quais o atacante originalmente não tinha acesso .

CVE-2026-4764 descreve a causa raiz: uma verificação de autorização ausente na funcionalidade de importação de playbook . A vulnerabilidade tem uma pontuação CVSS de 9,4, marcando-a como um risco de segurança crítico .

O que um Atacante Poderia Fazer

Uma vez que o código malicioso estivesse em execução dentro de um agente vítima, o atacante poderia :

• Ler conversas ao vivo — monitorar silenciosamente as interações dos usuários em tempo real com qualquer chatbot comprometido, incluindo chats de suporte ao cliente, sessões de bots financeiros e diálogos de assistentes de saúde.
• Se passar pelo bot — enviar mensagens escritas pelo atacante para enganar os usuários e fazê-los compartilhar senhas, informações de seguro, dados financeiros ou outros detalhes confidenciais .
• Comprometer vários agentes — passar de um agente comprometido para todos os outros agentes com Bloco de Código no mesmo projeto, escalando de uma função de baixo privilégio para um controle quase total do projeto .

Linha do Tempo da Divulgação e Correção

• Novembro de 2025 — A Varonis descobriu o problema inicialmente .
• 15 de março de 2026 — O Google corrigiu a vulnerabilidade de autorização ausente (CVE-2026-4764) no endpoint de importação de playbook .
• Abril de 2026 — O Google emitiu uma "primeira atualização de segurança" que não resolveu totalmente o problema .
• Junho de 2026 — O Google resolveu completamente o problema com um segundo patch .

O Google confirmou que nenhuma ação do cliente foi necessária para os patches .

Fraquezas Adicionais Descobertas

A Varonis identificou que o isolamento entre agentes que compartilham tempos de execução de Bloco de Código era fundamentalmente insuficiente . Mesmo após corrigir a autorização de importação, a própria arquitetura permitia a execução de código entre agentes se um único agente fosse comprometido — um problema de nível de design que exigiu o segundo patch em junho de 2026 para ser totalmente resolvido.

O Google também adicionou uma configuração de verificação de segurança de prompt nas configurações do agente para ajudar a detectar e bloquear ataques de injeção de prompt que poderiam ser usados como parte de cadeias de exploração semelhantes no futuro .

A Vulnerabilidade Foi Explorada?

Não há evidências de que a vulnerabilidade tenha sido explorada na natureza antes do patch . Um porta-voz do Google Cloud confirmou: "Não temos nenhuma indicação conhecida de comprometimento do cliente. Nenhuma ação do cliente é necessária."

Implicações para a Segurança da IA

A vulnerabilidade Rogue Agent é um lembrete claro de que os modelos de segurança subjacentes a muitas plataformas de agentes de IA ainda não acompanharam a complexidade de ambientes multilocatários que executam código. À medida que mais empresas implantam agentes de IA conversacionais que podem executar código personalizado, a superfície de ataque do runtime compartilhado torna-se uma preocupação crítica.

Organizações que usam o Dialogflow CX devem verificar se as verificações de segurança de prompt estão ativadas e auditar quais identidades têm permissões dialogflow.playbooks.update — a única permissão que poderia ter iniciado essa cadeia de ataque .