Rogue Agent: Kritisk sårbarhet i Googles Dialogflow CX möjliggjorde kapning av AI-agenter

CVE‑2026‑4764 beskriver grundorsaken: en saknad auktoriseringskontroll i funktionen för playbook‑import . Sårbarheten har ett CVSS‑poäng på 9,4, vilket klassificerar den som en kritisk säkerhetsrisk .

Vad en angripare kunde göra

När den skadliga koden väl kördes i en offeragent kunde angriparen :

• Läsa livekonversationer – i tysthet övervaka realtidsinteraktioner mellan användare och komprometterade chattrobotar, inklusive kundsupportchattar, sessioner med finansiella robotar och vårdassistenter.
• Utge sig för att vara roboten – skicka meddelanden som verkade komma från chatboten för att lura användare att dela lösenord, försäkringsinformation, ekonomiska data eller andra känsliga uppgifter .
• Kapa flera agenter – ta sig från en komprometterad agent till alla andra Code Block‑aktiverade agenter i samma projekt, och på så sätt eskalera från en låg privilegienivå till nästan full kontroll över projektet .

Tidslinje för upptäckt och patchning

• November 2025 – Varonis upptäcker sårbarheten .
• 15 mars 2026 – Google patchar sårbarheten med saknad auktorisering (CVE‑2026‑4764) i endpointen för playbook‑import .
• April 2026 – Google släpper en "första säkerhetsuppdatering" som inte helt löser problemet .
• Juni 2026 – Google åtgärdar problemet fullständigt med en andra patch .

Google bekräftade att inga kundåtgärder krävdes för patcharna .

Ytterligare svagheter som upptäcktes

Varonis identifierade att isoleringen mellan agenter som delade Code Block‑körningsmiljöer var fundamentalt otillräcklig . Även efter att auktoriseringsfelet i importfunktionen åtgärdats, tillät arkitekturen i sig själv att kod kunde exekveras över agentgränser om en enskild agent väl komprometterats – ett designproblem som krävde den andra patchen i juni 2026 för att helt åtgärdas.

Google lade också till en inställning för prompt security check i agentkonfigurationen, som hjälper till att upptäcka och blockera prompt‑injektionsattacker som kan användas i liknande exploateringskedjor i framtiden .

Utnyttjades sårbarheten någonsin?

Det finns inga bevis för att sårbarheten utnyttjats i verkligheten innan patcharna släpptes . En talesperson för Google Cloud bekräftade: "Vi har ingen känd indikation på att kunder komprometterats. Ingen kundåtgärd krävs."

Konsekvenser för AI‑säkerhet

Rogue Agent‑sårbarheten är en tydlig påminnelse om att de säkerhetsmodeller som ligger till grund för många AI‑agentplattformar ännu inte har hunnit ikapp komplexiteten i fleranvändarmiljöer där kod exekveras. I takt med att allt fler företag använder konverserande AI‑agenter som kan köra egen kod, blir attackytan i delade runtime‑miljöer en kritisk fråga.

Organisationer som använder Dialogflow CX bör kontrollera att prompt security checks är aktiverade och granska vilka identiteter som har behörigheten dialogflow.playbooks.update – den enda behörighet som kunde ha startat denna attackkedja .