Rogue Agent: Критична вразливість Dialogflow CX дозволила захоплювати AI-агенти в Google Cloud

У ланцюжку критичних вразливостей платформи Google Cloud Dialogflow CX, який отримав назву Rogue Agent, атакуючий, маючи лише права на редагування одного чат-бота, міг непомітно захопити контроль над розмовами, викрасти конфіденційні дані та скомпрометувати всі інші AI-агенти в тому ж хмарному проекті.

Фахівці з безпеки Varonis Threat Labs виявили цю помилку наприкінці 2025 року та спільно з Google усунули її до того, як стало відомо про будь-яке зловмисне використання. Ось що сталося, як це працювало і що це означає для безпеки багатоагентних систем штучного інтелекту.

Як працювала вразливість Rogue Agent

Dialogflow CX — це флагманська платформа Google Cloud для створення розмовних AI-агентів: чат-ботів і голосових асистентів, які використовуються в корпоративній підтримці, фінансових послугах і охороні здоров'я ^A. Ключова функція — Playbooks, які дозволяють розробникам керувати поведінкою агента за допомогою вбудованих Code Blocks — фрагментів коду Python, що виконуються всередині конвеєра агента ^TD.

Varonis виявили, що ці Code Blocks не мали належної ізоляції між різними агентами ^V. Ланцюжок атаки виглядав так:

1. Атакуючий, який вже мав дозвіл dialogflow.playbooks.update на один агент з увімкненими Code Blocks, міг створити шкідливий імпорт playbook ^DN.
2. Цей шкідливий playbook впроваджував постійний код Python у спільне середовище виконання Code Blocks ^V.
3. Оскільки одне й те саме базове середовище виконання обслуговувало кілька агентів в одному проекті Google Cloud, код атакуючого починав виконуватися всередині інших агентів, до яких атакуючий спочатку не мав доступу ^V.

CVE-2026-4764 описує основну причину: відсутність перевірки авторизації у функції імпорту playbook ^ND. Ця вразливість отримала оцінку CVSS 9,4, що є критичним рівнем небезпеки ^L.

Що міг зробити атакуючий

Після впровадження шкідливого коду в агента-жертву, атакуючий міг ^V:

• Читати живі розмови — непомітно стежити за взаємодією користувачів з будь-яким скомпрометованим чат-ботом, включаючи сеанси підтримки, фінансові та медичні консультації.
• Видавати себе за бота — надсилати повідомлення від імені бота, щоб обманом змусити користувачів розкрити паролі, дані страхування, фінансову інформацію або інші конфіденційні дані ^VA.
• Поширювати атаку на інших агентів — переміщатися від одного скомпрометованого агента до всіх інших агентів з увімкненими Code Blocks у тому ж проекті, підвищуючи свої привілеї від низьких майже до повного контролю над проектом ^V.

Хронологія виявлення та виправлення

• Листопад 2025 року — Varonis вперше виявили проблему ^A.
• 15 березня 2026 року — Google виправив вразливість, пов'язану з відсутністю авторизації (CVE-2026-4764), у кінцевій точці імпорту playbook ^DN.
• Квітень 2026 року — Google випустив "перше оновлення безпеки", яке не повністю вирішило проблему ^A.
• Червень 2026 року — Google повністю вирішив проблему другим патчем ^AA.

У Google підтвердили, що від клієнтів не вимагалося жодних дій для встановлення виправлень ^D.

Додаткові виявлені слабкі місця

Varonis виявили, що ізоляція між агентами, які спільно використовують середовища виконання Code Blocks, була фундаментально недостатньою ^V. Навіть після виправлення авторизації імпорту, сама архітектура дозволяла виконання коду між різними агентами, якщо будь-який з них був скомпрометований. Це проблема на рівні дизайну, яку повністю вирішив лише другий патч у червні 2026 року.

Google також додав налаштування Prompt security check у конфігурації агента, яке допомагає виявляти та блокувати атаки з ін'єкцією запитів (prompt injection), що можуть використовуватися в подібних ланцюжках експлуатації в майбутньому ^VD.

Чи були випадки експлуатації?

Немає жодних доказів того, що ця вразливість використовувалася зловмисниками до виходу патча ^A. Представник Google Cloud підтвердив: "Нам не відомо про жодні випадки компрометації клієнтів. Жодних дій від клієнтів не вимагається." ^A

Наслідки для безпеки AI

Вразливість Rogue Agent є яскравим нагадуванням про те, що моделі безпеки, які лежать в основі багатьох платформ AI-агентів, ще не встигли наздогнати складність багатокористувацьких середовищ, що виконують код. Оскільки все більше компаній розгортають розмовні AI-агенти, здатні запускати власний код, поверхня атаки спільних середовищ виконання стає критичною проблемою.

Організаціям, які використовують Dialogflow CX, рекомендується переконатися, що перевірка безпеки запитів увімкнена ^D, а також провести аудит того, які облікові записи мають дозвіл dialogflow.playbooks.update — єдиний дозвіл, з якого міг початися цей ланцюжок атак ^V.