Varonis виявили, що ці Code Blocks не мали належної ізоляції між різними агентами . Ланцюжок атаки виглядав так:

1. Атакуючий, який вже мав дозвіл dialogflow.playbooks.update на один агент з увімкненими Code Blocks, міг створити шкідливий імпорт playbook .
2. Цей шкідливий playbook впроваджував постійний код Python у спільне середовище виконання Code Blocks .
3. Оскільки одне й те саме базове середовище виконання обслуговувало кілька агентів в одному проекті Google Cloud, код атакуючого починав виконуватися всередині інших агентів, до яких атакуючий спочатку не мав доступу .

CVE-2026-4764 описує основну причину: відсутність перевірки авторизації у функції імпорту playbook . Ця вразливість отримала оцінку CVSS 9,4, що є критичним рівнем небезпеки .

Що міг зробити атакуючий

Після впровадження шкідливого коду в агента-жертву, атакуючий міг :

• Читати живі розмови — непомітно стежити за взаємодією користувачів з будь-яким скомпрометованим чат-ботом, включаючи сеанси підтримки, фінансові та медичні консультації.
• Видавати себе за бота — надсилати повідомлення від імені бота, щоб обманом змусити користувачів розкрити паролі, дані страхування, фінансову інформацію або інші конфіденційні дані .
• Поширювати атаку на інших агентів — переміщатися від одного скомпрометованого агента до всіх інших агентів з увімкненими Code Blocks у тому ж проекті, підвищуючи свої привілеї від низьких майже до повного контролю над проектом .

Хронологія виявлення та виправлення

• Листопад 2025 року — Varonis вперше виявили проблему .
• 15 березня 2026 року — Google виправив вразливість, пов'язану з відсутністю авторизації (CVE-2026-4764), у кінцевій точці імпорту playbook .
• Квітень 2026 року — Google випустив "перше оновлення безпеки", яке не повністю вирішило проблему .
• Червень 2026 року — Google повністю вирішив проблему другим патчем .

У Google підтвердили, що від клієнтів не вимагалося жодних дій для встановлення виправлень .

Додаткові виявлені слабкі місця

Varonis виявили, що ізоляція між агентами, які спільно використовують середовища виконання Code Blocks, була фундаментально недостатньою . Навіть після виправлення авторизації імпорту, сама архітектура дозволяла виконання коду між різними агентами, якщо будь-який з них був скомпрометований. Це проблема на рівні дизайну, яку повністю вирішив лише другий патч у червні 2026 року.

Google також додав налаштування Prompt security check у конфігурації агента, яке допомагає виявляти та блокувати атаки з ін'єкцією запитів (prompt injection), що можуть використовуватися в подібних ланцюжках експлуатації в майбутньому .

Чи були випадки експлуатації?

Немає жодних доказів того, що ця вразливість використовувалася зловмисниками до виходу патча . Представник Google Cloud підтвердив: "Нам не відомо про жодні випадки компрометації клієнтів. Жодних дій від клієнтів не вимагається."

Наслідки для безпеки AI

Вразливість Rogue Agent є яскравим нагадуванням про те, що моделі безпеки, які лежать в основі багатьох платформ AI-агентів, ще не встигли наздогнати складність багатокористувацьких середовищ, що виконують код. Оскільки все більше компаній розгортають розмовні AI-агенти, здатні запускати власний код, поверхня атаки спільних середовищ виконання стає критичною проблемою.

Організаціям, які використовують Dialogflow CX, рекомендується переконатися, що перевірка безпеки запитів увімкнена , а також провести аудит того, які облікові записи мають дозвіл dialogflow.playbooks.update — єдиний дозвіл, з якого міг початися цей ланцюжок атак .

Varonis виявили, що ці Code Blocks не мали належної ізоляції між різними агентами . Ланцюжок атаки виглядав так:

1. Атакуючий, який вже мав дозвіл dialogflow.playbooks.update на один агент з увімкненими Code Blocks, міг створити шкідливий імпорт playbook .
2. Цей шкідливий playbook впроваджував постійний код Python у спільне середовище виконання Code Blocks .
3. Оскільки одне й те саме базове середовище виконання обслуговувало кілька агентів в одному проекті Google Cloud, код атакуючого починав виконуватися всередині інших агентів, до яких атакуючий спочатку не мав доступу .

CVE-2026-4764 описує основну причину: відсутність перевірки авторизації у функції імпорту playbook . Ця вразливість отримала оцінку CVSS 9,4, що є критичним рівнем небезпеки .

Що міг зробити атакуючий

Після впровадження шкідливого коду в агента-жертву, атакуючий міг :

• Читати живі розмови — непомітно стежити за взаємодією користувачів з будь-яким скомпрометованим чат-ботом, включаючи сеанси підтримки, фінансові та медичні консультації.
• Видавати себе за бота — надсилати повідомлення від імені бота, щоб обманом змусити користувачів розкрити паролі, дані страхування, фінансову інформацію або інші конфіденційні дані .
• Поширювати атаку на інших агентів — переміщатися від одного скомпрометованого агента до всіх інших агентів з увімкненими Code Blocks у тому ж проекті, підвищуючи свої привілеї від низьких майже до повного контролю над проектом .

Хронологія виявлення та виправлення

• Листопад 2025 року — Varonis вперше виявили проблему .
• 15 березня 2026 року — Google виправив вразливість, пов'язану з відсутністю авторизації (CVE-2026-4764), у кінцевій точці імпорту playbook .
• Квітень 2026 року — Google випустив "перше оновлення безпеки", яке не повністю вирішило проблему .
• Червень 2026 року — Google повністю вирішив проблему другим патчем .

У Google підтвердили, що від клієнтів не вимагалося жодних дій для встановлення виправлень .

Додаткові виявлені слабкі місця

Varonis виявили, що ізоляція між агентами, які спільно використовують середовища виконання Code Blocks, була фундаментально недостатньою . Навіть після виправлення авторизації імпорту, сама архітектура дозволяла виконання коду між різними агентами, якщо будь-який з них був скомпрометований. Це проблема на рівні дизайну, яку повністю вирішив лише другий патч у червні 2026 року.

Google також додав налаштування Prompt security check у конфігурації агента, яке допомагає виявляти та блокувати атаки з ін'єкцією запитів (prompt injection), що можуть використовуватися в подібних ланцюжках експлуатації в майбутньому .

Чи були випадки експлуатації?

Немає жодних доказів того, що ця вразливість використовувалася зловмисниками до виходу патча . Представник Google Cloud підтвердив: "Нам не відомо про жодні випадки компрометації клієнтів. Жодних дій від клієнтів не вимагається."

Наслідки для безпеки AI

Вразливість Rogue Agent є яскравим нагадуванням про те, що моделі безпеки, які лежать в основі багатьох платформ AI-агентів, ще не встигли наздогнати складність багатокористувацьких середовищ, що виконують код. Оскільки все більше компаній розгортають розмовні AI-агенти, здатні запускати власний код, поверхня атаки спільних середовищ виконання стає критичною проблемою.

Організаціям, які використовують Dialogflow CX, рекомендується переконатися, що перевірка безпеки запитів увімкнена , а також провести аудит того, які облікові записи мають дозвіл dialogflow.playbooks.update — єдиний дозвіл, з якого міг початися цей ланцюжок атак .