Lỗ hổng 'Rogue Agent' trong Dialogflow CX của Google cho phép tin tặc chiếm quyền điều khiển mọi AI Agent trên cùng một dự án

CVE-2026-4764 mô tả nguyên nhân gốc rễ: thiếu kiểm tra ủy quyền trong chức năng nhập playbook . Lỗ hổng này có điểm CVSS là 9.4, được đánh dấu là rủi ro bảo mật nghiêm trọng .

Kẻ tấn công có thể làm gì

Một khi mã độc đã chạy bên trong agent nạn nhân, kẻ tấn công có thể :

• Đọc các cuộc trò chuyện trực tiếp — âm thầm theo dõi các tương tác của người dùng theo thời gian thực với bất kỳ chatbot nào bị xâm phạm, bao gồm các cuộc trò chuyện hỗ trợ khách hàng, bot tài chính và hội thoại trợ lý chăm sóc sức khỏe.
• Mạo danh bot — gửi các tin nhắn do kẻ tấn công viết để lừa người dùng chia sẻ mật khẩu, thông tin bảo hiểm, dữ liệu tài chính hoặc các chi tiết nhạy cảm khác .
• Xâm phạm chéo agent — di chuyển từ một agent bị xâm phạm sang mọi agent có Code Block khác trong cùng một dự án, leo thang từ một vai trò có đặc quyền thấp lên quyền kiểm soát gần như toàn bộ dự án .

Dòng thời gian tiết lộ và vá lỗi

• Tháng 11 năm 2025 — Varonis ban đầu phát hiện ra vấn đề .
• Ngày 15 tháng 3 năm 2026 — Google đã vá lỗ hổng thiếu ủy quyền (CVE-2026-4764) trong điểm cuối nhập playbook .
• Tháng 4 năm 2026 — Google đã phát hành "bản cập nhật bảo mật đầu tiên" nhưng không giải quyết triệt để vấn đề .
• Tháng 6 năm 2026 — Google đã giải quyết hoàn toàn vấn đề với bản vá thứ hai .

Google xác nhận rằng không cần khách hàng thực hiện bất kỳ hành động nào cho các bản vá .

Các điểm yếu bổ sung được phát hiện

Varonis đã xác định rằng sự cách ly giữa các agent chia sẻ thời gian chạy Code Block về cơ bản là không đủ . Ngay cả sau khi sửa lỗi ủy quyền nhập, kiến trúc của chính nó vẫn cho phép thực thi mã chéo agent nếu bất kỳ agent đơn lẻ nào bị xâm phạm — một vấn đề ở cấp độ thiết kế đòi hỏi bản vá thứ hai vào tháng 6 năm 2026 mới giải quyết hoàn toàn.

Google cũng đã thêm cài đặt kiểm tra bảo mật prompt trong cấu hình agent để giúp phát hiện và chặn các cuộc tấn công tiêm prompt (prompt injection) có thể được sử dụng như một phần của các chuỗi khai thác tương tự trong tương lai .

Lỗ hổng đã từng bị khai thác chưa?

Không có bằng chứng nào cho thấy lỗ hổng này đã từng bị khai thác ngoài thực tế trước khi được vá . Một phát ngôn viên của Google Cloud xác nhận: "Chúng tôi không có dấu hiệu nào cho thấy khách hàng bị xâm phạm. Không cần khách hàng thực hiện hành động nào."

Hàm ý cho bảo mật AI

Lỗ hổng Rogue Agent là một lời nhắc nhở rõ ràng rằng các mô hình bảo mật làm nền tảng cho nhiều nền tảng AI agent vẫn chưa theo kịp sự phức tạp của các môi trường đa đối tác (multi-tenant) thực thi mã. Khi ngày càng nhiều doanh nghiệp triển khai các tác tử AI hội thoại có thể chạy mã tùy chỉnh, bề mặt tấn công thời gian chạy dùng chung trở thành một mối quan tâm nghiêm trọng.

Các tổ chức sử dụng Dialogflow CX nên xác minh rằng các kiểm tra bảo mật prompt đã được bật và kiểm tra danh tính nào có quyền dialogflow.playbooks.update — quyền duy nhất có thể bắt đầu chuỗi tấn công này .