Rogue Agent: วิธีที่ช่องโหว่ร้ายแรงใน Dialogflow CX เปิดทางให้แฮกเกอร์จี้ AI ทั่วทั้งโปรเจกต์

CVE-2026-4764 อธิบายถึงสาเหตุหลักที่แท้จริง: การขาดการตรวจสอบสิทธิ์ (authorization check) ในฟังก์ชันการนำเข้า playbook ช่องโหว่นี้มีคะแนน CVSS อยู่ที่ 9.4 ซึ่งจัดเป็นความเสี่ยงด้านความปลอดภัยระดับวิกฤต

สิ่งที่ผู้โจมตีสามารถทำได้

เมื่อโค้ดที่เป็นอันตรายทำงานภายในเอเจนต์ของเหยื่อแล้ว ผู้โจมตีสามารถ :

• อ่านการสนทนาสด — แอบติดตามการโต้ตอบของผู้ใช้ตามเวลาจริงกับแชทบอทที่ถูกบุกรุก รวมถึงแชทบริการลูกค้า เซสชันบอททางการเงิน และบทสนทนาของผู้ช่วยด้านการดูแลสุขภาพ
• สวมรอยเป็นบอท — ส่งข้อความที่เขียนโดยผู้โจมตีเพื่อหลอกลวงผู้ใช้ให้แชร์รหัสผ่าน ข้อมูลประกัน ข้อมูลทางการเงิน หรือรายละเอียดที่ละเอียดอ่อนอื่นๆ
• บุกรุกข้ามเอเจนต์ — ย้ายจากการบุกรุกเอเจนต์ตัวเดียวไปยังเอเจนต์อื่นๆ ที่เปิดใช้ Code Block ทั้งหมดในโปรเจกต์เดียวกัน เพิ่มระดับสิทธิ์จากบทบาทที่มีสิทธิ์น้อยไปจนถึงการควบคุมเกือบทั้งโปรเจกต์

ไทม์ไลน์ของการเปิดเผยและการแก้ไข

• พฤศจิกายน 2025 — Varonis ค้นพบช่องโหว่เป็นครั้งแรก
• 15 มีนาคม 2026 — Google แก้ไขช่องโหว่การขาดการตรวจสอบสิทธิ์ (CVE-2026-4764) ในจุดสิ้นสุดการนำเข้า playbook
• เมษายน 2026 — Google ออก "อัปเดตความปลอดภัยครั้งแรก" แต่ยังแก้ไขปัญหาไม่หมด
• มิถุนายน 2026 — Google แก้ไขปัญหาได้อย่างสมบูรณ์ด้วยแพตช์ครั้งที่สอง

Google ยืนยันว่าไม่จำเป็นต้องดำเนินการใดๆ จากลูกค้า

จุดอ่อนเพิ่มเติมที่ถูกค้นพบ

Varonis ระบุว่า การแยกส่วนระหว่างเอเจนต์ที่ใช้รันไทม์ Code Block ร่วมกัน นั้นไม่เพียงพอโดยพื้นฐาน แม้หลังจากการแก้ไขการนำเข้าแล้ว สถาปัตยกรรมเองก็ยังอนุญาตให้มีการเรียกใช้โค้ดข้ามเอเจนต์ได้หากเอเจนต์ตัวใดตัวหนึ่งถูกบุกรุก ซึ่งเป็นปัญหาในระดับการออกแบบที่ต้องใช้แพตช์ครั้งที่สองในเดือนมิถุนายน 2026 เพื่อแก้ไขอย่างสมบูรณ์

นอกจากนี้ Google ยังเพิ่มการตั้งค่า prompt security check ในการกำหนดค่าเอเจนต์เพื่อช่วยตรวจจับและบล็อกการโจมตีแบบ prompt-injection ที่อาจถูกใช้เป็นส่วนหนึ่งของห่วงโซ่การโจมตีที่คล้ายคลึงกันในอนาคต

มีการโจมตีจริงหรือไม่?

ไม่มีหลักฐานว่าช่องโหว่นี้ถูกนำไปใช้โจมตีจริง ก่อนที่จะมีการแก้ไข โฆษกของ Google Cloud ยืนยันว่า: "เราไม่มีข้อบ่งชี้ว่าลูกค้าถูกบุกรุก ไม่จำเป็นต้องดำเนินการใดๆ จากลูกค้า"

ผลกระทบต่อความปลอดภัยของ AI

ช่องโหว่ Rogue Agent เป็นเครื่องเตือนใจที่ชัดเจนว่า โมเดลความปลอดภัยที่อยู่เบื้องหลังแพลตฟอร์ม AI เอเจนต์จำนวนมากยังตามไม่ทันความซับซ้อนของสภาพแวดล้อมแบบ multi-tenant ที่มีการเรียกใช้โค้ด ในขณะที่องค์กรต่างๆ เริ่มปรับใช้ conversational AI ที่สามารถรันโค้ดแบบกำหนดเองได้มากขึ้น พื้นผิวการโจมตีของรันไทม์ที่ใช้ร่วมกันจึงกลายเป็นข้อกังวลที่สำคัญ

องค์กรที่ใช้ Dialogflow CX ควรตรวจสอบว่ามีการเปิดใช้งาน prompt security checks แล้ว และตรวจสอบสิทธิ์ที่ identities ต่างๆ มี dialogflow.playbooks.update — สิทธิ์เพียงอย่างเดียวที่สามารถเริ่มต้นห่วงโซ่การโจมตีนี้ได้