“流氓智能体”漏洞曝光：一次权限提升，整项目AI聊天机器人全陷落

Varonis 发现，这些 Code Blocks 在多个智能体之间缺乏足够的安全隔离 。攻击链如下：

1. 获取低权限入口：攻击者首先需要获得一个已启用 Code Block 功能的智能体的 dialogflow.playbooks.update 编辑权限 。
2. 注入恶意代码：攻击者利用权限缺失漏洞，导入一个精心构造的恶意 Playbook 。这个 Playbook 会将持久化的恶意 Python 代码注入到共享的代码块运行时环境中 。
3. 横向扩散与劫持：由于同一个 Google Cloud 项目下的多个智能体共享同一个底层代码执行环境，攻击者注入的代码会悄然在其他目标智能体中执行——而这些智能体原本不属于攻击者的权限范围 。

该漏洞的根因在于 Playbook 导入功能中缺少授权校验，相关漏洞编号为 CVE-2026-4764 。

攻击者能做什么？

一旦恶意代码在受害智能体的环境中运行，攻击者便能发动各种攻击 ：

• 窃听实时对话：静默监控所有与被入侵聊天机器人的实时交互，包括客服、金融及医疗等敏感场景 。
• 冒充官方机器人进行钓鱼：让机器人发送由攻击者编写的消息，诱骗用户提供密码、保险信息、财务数据等敏感内容 。
• 横向移动，控制所有智能体：从一个被入侵的智能体出发，横向渗透至同一项目下所有启用了 Code Block 的智能体，实现从低权限角色到近乎项目级管理员权限的突破 。

披露与修复时间线

• 2025年11月：Varonis 首次发现该安全问题 。
• 2026年3月15日：Google 针对 Playbook 导入的权限缺失漏洞（CVE-2026-4764）发布首个补丁 。
• 2026年4月：Google 发布 "第一次安全更新"，但未能彻底解决问题 。
• 2026年6月：Google 发布第二个补丁，完全解决跨智能体代码执行的设计缺陷 。

Google 官方确认，整个过程中用户无需执行任何操作 。

深层次的安全反思

Varonis 指出，即使修复了导入权限问题，Dialogflow CX 的底层架构本身也存在设计缺陷：所有智能体的 Code Block 共享一个运行时环境，缺乏必要的隔离 。这意味着，只要任何一个智能体被攻破，攻击者就能利用共享环境横向扩散。这正是为什么 Google 需要等到 2026 年 6 月的第二次补丁才完全修复该问题 。

此外，Google 还在智能体配置中新增了一项 "prompt security check"（提示安全检查） 功能，用于帮助检测和阻止未来可能出现的提示注入攻击 。

对 AI 安全的重要启示

"流氓智能体"漏洞向业界敲响了警钟：许多 AI 平台的安全模型，尤其是在涉及多租户和代码执行功能时，还远未跟上技术复杂性的发展。随着越来越多的企业部署能运行自定义代码的对话式 AI 智能体，共享运行时的攻击面正成为一个需要正视的关键安全问题 。

使用 Dialogflow CX 的企业应立即检查是否已启用提示安全检查，并仔细审计哪些身份账号拥有 dialogflow.playbooks.update 这一关键权限——在本次漏洞中，它就是整条攻击链条的起点 。