Rogue Agent: Google Dialogflow CX'teki Kritik Güvenlik Açığı, Yapay Zeka Ajanlarının Ele Geçirilmesine İzin Veriyordu

Google Cloud'un Dialogflow CX hizmetinde keşfedilen Rogue Agent adlı kritik güvenlik açığı, bir saldırganın yalnızca tek bir sohbet robotu üzerinde düzenleme iznine sahip olarak, sessizce diğer tüm yapay zeka asistanlarının konuşmalarını ele geçirmesine, hassas verileri çalmasına ve kullanıcıları kandırmasına olanak tanıyordu.

Güvenlik firması Varonis Threat Labs, bu açığı 2025 yılının sonlarında keşfetti ve Google ile birlikte çalışarak, herhangi bir saldırı gerçekleşmeden önce açığın kapatılmasını sağladı ^A. İşte bu kritik güvenlik açığının detayları, nasıl çalıştığı ve çoklu yapay zeka asistanı sistemleri için ne anlama geldiği.

Rogue Agent Güvenlik Açığı Nasıl Çalışıyordu?

Dialogflow CX, Google Cloud'un işletmelerin müşteri hizmetleri, finans ve sağlık gibi alanlarda kullandığı sohbet robotları ve sesli asistanlar oluşturmasını sağlayan amiral gemisi platformudur ^A. Platformun önemli bir özelliği olan Playbook'lar, geliştiricilerin asistan davranışını kontrol etmek için Kod Blokları (Code Blocks) adı verilen Python kod parçacıkları eklemesine olanak tanır ^TD.

Varonis araştırmacıları, bu Kod Blokları'nın asistanlar arasında yeterli düzeyde izole edilmediğini keşfetti ^V. Saldırı zinciri şu şekilde işliyordu:

1. Halihazırda Kod Bloğu etkinleştirilmiş tek bir asistan üzerinde dialogflow.playbooks.update iznine sahip bir saldırgan, kötü niyetli bir playbook içe aktarımı oluşturabiliyordu ^DN.
2. Bu kötü niyetli playbook, paylaşılan Kod Bloğu çalışma zamanı ortamına kalıcı Python kodu enjekte ediyordu ^V.
3. Aynı temel çalışma ortamı, aynı Google Cloud projesindeki birden fazla asistana hizmet verdiği için, saldırganın kodu başlangıçta erişimi olmayan diğer asistanların içinde de çalıştırılabiliyordu ^V.

CVE-2026-4764 olarak tanımlanan bu açığın temel nedeni, playbook içe aktarma işlevinde bulunan bir yetkilendirme eksikliğiydi ^ND. Bu güvenlik açığı, 9.4 gibi kritik bir CVSS puanına sahipti ^L.

Saldırgan Neler Yapabilirdi?

Kötü niyetli kod, hedef asistanın içinde çalışmaya başladığında, saldırgan şunları yapabiliyordu ^V:

• Canlı konuşmaları okumak – Müşteri hizmetleri, finans veya sağlık asistanları gibi ele geçirilen sohbet robotlarındaki gerçek zamanlı kullanıcı etkileşimlerini sessizce izleyebiliyordu.
• Asistanı taklit etmek – Kullanıcıları şifrelerini, sigorta bilgilerini, finansal verilerini veya diğer hassas bilgilerini paylaşmaya ikna etmek için saldırgan tarafından yazılmış mesajlar gönderebiliyordu ^VA.
• Çapraz asistan saldırısı – Ele geçirilen bir asistandan, aynı projedeki Kod Bloğu etkinleştirilmiş diğer tüm asistanlara sıçrayarak, düşük yetkili bir kullanıcıdan neredeyse proje çapında kontrole sahip olabiliyordu ^V.

Keşif ve Yama Takvimi

• Kasım 2025 – Varonis araştırmacıları sorunu ilk olarak keşfetti ^A.
• 15 Mart 2026 – Google, playbook içe aktarma uç noktasındaki yetkilendirme eksikliğini (CVE-2026-4764) gideren ilk yamayı yayınladı ^DN.
• Nisan 2026 – Google, sorunu tam olarak çözemeyen bir "ilk güvenlik güncellemesi" daha yayınladı ^A.
• Haziran 2026 – Google, ikinci bir yama ile sorunu tamamen çözdü ^AA.

Google, yamalar için müşterilerin herhangi bir işlem yapmasına gerek olmadığını doğruladı ^D.

Ortaya Çıkarılan Diğer Zayıflıklar

Varonis, Kod Bloğu çalışma zamanlarını paylaşan asistanlar arasındaki izolasyonun temelde yetersiz olduğunu tespit etti ^V. İçe aktarma yetkilendirmesi düzeltildikten sonra bile, mimarinin kendisi herhangi bir asistanın ele geçirilmesi durumunda çapraz asistan kod çalıştırılmasına izin veriyordu. Bu tasarım seviyesindeki sorun, tamamen giderilmesi için Haziran 2026'daki ikinci yamayı gerektirdi.

Google ayrıca, gelecekteki benzer saldırılarda kullanılabilecek prompt enjeksiyon saldırılarını tespit etmeye ve engellemeye yardımcı olmak için asistan yapılandırmasına bir prompt güvenlik kontrolü ayarı ekledi ^VD.

Açık Kötüye Kullanıldı mı?

Yama uygulanmadan önce açığın herhangi bir saldırıda kullanıldığına dair hiçbir kanıt bulunmuyor ^A. Bir Google Cloud sözcüsü, "Müşterilerimizin tehlikeye atıldığına dair bilinen bir belirti yok. Müşterilerin herhangi bir işlem yapması gerekmiyor." şeklinde açıklama yaptı ^A.

Yapay Zeka Güvenliği İçin Çıkarımlar

Rogue Agent güvenlik açığı, birçok yapay zeka asistanı platformunun altında yatan güvenlik modellerinin, çok kiracılı ve kod çalıştıran ortamların karmaşıklığına henüz ayak uyduramadığının çarpıcı bir hatırlatıcısıdır. Giderek daha fazla işletme, özel kod çalıştırabilen sohbet robotları kullanmaya başladıkça, paylaşılan çalışma zamanı yüzey alanı kritik bir endişe kaynağı haline geliyor.

Dialogflow CX kullanan kuruluşlar, prompt güvenlik kontrollerinin etkinleştirildiğinden emin olmalı ^D ve bu saldırı zincirini başlatabilecek tek izin olan dialogflow.playbooks.update iznine sahip kimlikleri denetlemelidir ^V.