Rogue Agent: критическая уязвимость в Dialogflow CX открывала доступ к чужим AI-агентам

Критическая цепочка уязвимостей в сервисе Google Cloud Dialogflow CX, получившая название Rogue Agent, могла позволить злоумышленнику, имеющему всего лишь права на редактирование одного чат-бота, незаметно захватывать диалоги, похищать конфиденциальные данные и компрометировать всех остальных AI-агентов в том же облачном проекте.

Исследователи безопасности из Varonis Threat Labs обнаружили эту уязвимость в конце 2025 года и совместно с Google устранили её до того, как злоумышленники могли ею воспользоваться. Разбираемся, как это работало и какие уроки стоит извлечь.

Как работала уязвимость Rogue Agent

Dialogflow CX — это флагманская платформа Google Cloud для создания разговорных AI-агентов: чат-ботов и голосовых помощников, которые широко используются в корпоративном секторе для поддержки клиентов, в финансовых услугах и здравоохранении . Ключевая функция платформы — Playbooks (сценарии), которые позволяют разработчикам управлять поведением агента, используя встроенные Code Blocks — фрагменты кода на Python, выполняемые внутри конвейера агента .

Varonis обнаружил, что эти Code Blocks не имеют должной изоляции между разными агентами . Цепочка атак выглядела так:

1. Злоумышленник, уже имеющий разрешение dialogflow.playbooks.update хотя бы на одном агенте с Code Blocks, мог создать вредоносный импорт сценария (playbook) .
2. Этот вредоносный сценарий внедрял постоянный Python-код в общую среду выполнения Code Blocks .
3. Поскольку одна и та же среда выполнения обслуживала несколько агентов в одном проекте Google Cloud, код злоумышленника начинал выполняться внутри других агентов, к которым у него изначально не было доступа .

Эта проблема описана как CVE-2026-4764 — отсутствие проверки авторизации в функции импорта сценариев . Уязвимость получила оценку 9.4 по шкале CVSS, что соответствует критическому уровню опасности .

Что мог сделать атакующий

Получив контроль над чужим агентом, злоумышленник мог :

• Читать переписку в реальном времени — незаметно следить за диалогами пользователей с любым скомпрометированным чат-ботом, включая сессии техподдержки, финансовые консультации и диалоги с помощниками в сфере здравоохранения.
• Выдавать себя за бота — отправлять сообщения от имени системы, чтобы выманить у пользователей пароли, страховые данные, банковскую информацию и другие секреты .
• Атаковать всех агентов проекта — перейти от одного скомпрометированного агента ко всем остальным, используя ту же уязвимость, и, обладая минимальными правами, получить почти полный контроль над проектом .

Хронология обнаружения и исправления

• Ноябрь 2025 — Varonis обнаружила проблему .
• 15 марта 2026 — Google закрыл уязвимость отсутствия авторизации (CVE-2026-4764) в функции импорта сценариев .
• Апрель 2026 — Google выпустил «первое обновление безопасности», которое, однако, полностью не решило проблему .
• Июнь 2026 — Google полностью устранил проблему вторым патчем .

Представители Google подтвердили, что никаких дополнительных действий со стороны клиентов не требовалось .

Другие обнаруженные слабые места

Исследователи Varonis указали, что изоляция между агентами, использующими общие среды выполнения Code Blocks, была недостаточной . Даже после исправления ошибки авторизации при импорте сама архитектура позволяла выполнение кода между агентами, если какой-либо из них был скомпрометирован. Это потребовало второго патча в июне 2026 года.

Кроме того, Google добавил настройку проверки безопасности промптов в конфигурации агента, которая помогает обнаруживать и блокировать атаки с внедрением промптов (prompt injection), которые могли бы использоваться в подобных атаках в будущем .

Были ли реальные атаки?

Нет никаких доказательств того, что эта уязвимость была использована злоумышленниками до выхода патча . Представитель Google Cloud заявил: «У нас нет никаких свидетельств компрометации клиентов. Действия клиентов не требуются» .

Выводы для безопасности AI-систем

Уязвимость Rogue Agent — яркое напоминание о том, что модели безопасности, лежащие в основе многих платформ с AI-агентами, пока не успевают за сложностью мультитенантных сред с исполнением кода. По мере того как компании всё активнее внедряют разговорных AI-агентов с возможностью выполнения пользовательского кода, поверхность атаки, связанная с разделяемыми средами выполнения, становится критически важной.

Организациям, использующим Dialogflow CX, рекомендуется проверить, включена ли проверка безопасности промптов , а также провести аудит того, у кого есть разрешение dialogflow.playbooks.update — единственное разрешение, которое могло запустить эту цепочку атак .