Rogue Agent: критическая уязвимость в Dialogflow CX открывала доступ к чужим AI-агентам

1. Злоумышленник, уже имеющий разрешение dialogflow.playbooks.update хотя бы на одном агенте с Code Blocks, мог создать вредоносный импорт сценария (playbook) ^DN.
2. Этот вредоносный сценарий внедрял постоянный Python-код в общую среду выполнения Code Blocks ^V.
3. Поскольку одна и та же среда выполнения обслуживала несколько агентов в одном проекте Google Cloud, код злоумышленника начинал выполняться внутри других агентов, к которым у него изначально не было доступа ^V.

Эта проблема описана как CVE-2026-4764 — отсутствие проверки авторизации в функции импорта сценариев ^ND. Уязвимость получила оценку 9.4 по шкале CVSS, что соответствует критическому уровню опасности ^L.

Что мог сделать атакующий

Получив контроль над чужим агентом, злоумышленник мог ^V:

• Читать переписку в реальном времени — незаметно следить за диалогами пользователей с любым скомпрометированным чат-ботом, включая сессии техподдержки, финансовые консультации и диалоги с помощниками в сфере здравоохранения.
• Выдавать себя за бота — отправлять сообщения от имени системы, чтобы выманить у пользователей пароли, страховые данные, банковскую информацию и другие секреты ^VA.
• Атаковать всех агентов проекта — перейти от одного скомпрометированного агента ко всем остальным, используя ту же уязвимость, и, обладая минимальными правами, получить почти полный контроль над проектом ^V.

Хронология обнаружения и исправления

• Ноябрь 2025 — Varonis обнаружила проблему ^A.
• 15 марта 2026 — Google закрыл уязвимость отсутствия авторизации (CVE-2026-4764) в функции импорта сценариев ^DN.
• Апрель 2026 — Google выпустил «первое обновление безопасности», которое, однако, полностью не решило проблему ^A.
• Июнь 2026 — Google полностью устранил проблему вторым патчем ^AA.

Представители Google подтвердили, что никаких дополнительных действий со стороны клиентов не требовалось ^D.

Другие обнаруженные слабые места

Исследователи Varonis указали, что изоляция между агентами, использующими общие среды выполнения Code Blocks, была недостаточной ^V. Даже после исправления ошибки авторизации при импорте сама архитектура позволяла выполнение кода между агентами, если какой-либо из них был скомпрометирован. Это потребовало второго патча в июне 2026 года.

Кроме того, Google добавил настройку проверки безопасности промптов в конфигурации агента, которая помогает обнаруживать и блокировать атаки с внедрением промптов (prompt injection), которые могли бы использоваться в подобных атаках в будущем ^VD.

Были ли реальные атаки?

Нет никаких доказательств того, что эта уязвимость была использована злоумышленниками до выхода патча ^A. Представитель Google Cloud заявил: «У нас нет никаких свидетельств компрометации клиентов. Действия клиентов не требуются» ^A.

Выводы для безопасности AI-систем

Уязвимость Rogue Agent — яркое напоминание о том, что модели безопасности, лежащие в основе многих платформ с AI-агентами, пока не успевают за сложностью мультитенантных сред с исполнением кода. По мере того как компании всё активнее внедряют разговорных AI-агентов с возможностью выполнения пользовательского кода, поверхность атаки, связанная с разделяемыми средами выполнения, становится критически важной.

Организациям, использующим Dialogflow CX, рекомендуется проверить, включена ли проверка безопасности промптов ^D, а также провести аудит того, у кого есть разрешение dialogflow.playbooks.update — единственное разрешение, которое могло запустить эту цепочку атак ^V.