「叛變Agent」漏洞曝光！Google Dialogflow CX 驚現跨Agent騎劫危機

Varonis 發現呢啲 Code Blocks 嘅執行環境同埋 Playbooks 嘅匯入功能，佢哋嘅安全機制做得唔夠好。^V 攻擊鏈係咁行嘅：

1. 攻擊者只需要有「dialogflow.playbooks.update」呢一個編輯權限，操控到一部有用 Code Blocks 嘅 Agent。^DN
2. 之後佢可以匯入一個做咗手腳嘅 Playbook，將持久化嘅惡意 Python 碼注射落去共享嘅 Code Blocks 執行環境。^V
3. 因為同一個 Google Cloud Project 入面嘅 Agent 係用同一個底層執行環境，攻擊者嘅惡意碼就可以喺其他本來冇權限嘅 Agent 入面一齊執行，騎劫晒成個項目。^V

呢個漏洞官方記錄為 CVE-2026-4764，核心問題係 Playbook 匯入功能冇做足授權檢查。^ND 呢個漏洞嘅 CVSS 評分高達 9.4，係極度嚴重嘅安全漏洞。^L

攻擊者可以做到啲咩？

一旦惡意碼成功喺受害者嘅 Agent 入面行，攻擊者就可以做以下幾件事：

• 偷聽即時對話——神不知鬼不覺咁睇住用戶同任何被入侵聊天機器人嘅互動內容，包括客服對話、財務 Bot 會話、醫療助手交流等。^V
• 冒充官方 Bot 釣魚——用 Bot 嘅身份向用戶發送訊息，呃佢哋交出密碼、保險資料、銀行資料或其他敏感個人訊息。^VA
• 跨 Agent 全面攻陷——以一個受控嘅 Agent 做跳板，騎劫埋同一個項目入面所有有用 Code Blocks 嘅 Agent，將低權限角色變成就係控制成個項目嘅玩家。^V

披露同修復時間線

• 2025 年 11 月——Varonis 首次發現呢個漏洞。^A
• 2026 年 3 月 15 日——Google 出手機修 Playbook 匯入功能嘅權限檢查漏洞（即 CVE-2026-4764）。^DN
• 2026 年 4 月——Google 推出「第一個安全更新」，但係未完全解決個問題。^A
• 2026 年 6 月——Google 推出第二個修補，終於完全解決晒成個漏洞鏈。^AA

Google 向客戶確認，成個修復過程唔需要客戶做任何操作。^D

仲有其他安全弱點被發現

Varonis 仲指出，就算修復咗 Playbook 匯入嘅權限問題，Agent 之間共享 Code Block 執行環境呢個根本架構設計本身都存在問題。只要任何一個 Agent 被攻陷，攻擊者仍然可以跨越執行惡意碼。呢個係設計層面嘅問題，所以要等到 2026 年 6 月嘅第二個修補先至完全搞掂。^V

另外，Google 仲喺 Agent 設定入面加咗一個 prompt security check 嘅提示安全檢查功能，幫手偵測同阻擋 prompt injection 攻擊，防止將來有人用類似手法搞事。^VD

呢個漏洞有冇俾人用過？

好彩，到目前為止冇任何證據顯示呢個漏洞喺修復之前俾黑客實際用過。^A Google Cloud 嘅發言人話：「我哋冇任何已知嘅客戶受影響證據，客戶無需採取任何行動。」^A

對 AI 安全嘅啟示

「Rogue Agent」呢個漏洞好清楚咁話俾我哋知，好多 AI Agent 平台背後嘅安全模型仲未追得上佢哋系統嘅複雜程度（特別係要多人共用同埋可以執行自訂碼嘅環境）。隨住越嚟越多企業使用可以落自訂碼嘅對話式 AI Agent，呢啲共享執行環境會成為一個好關鍵嘅攻擊面。

用緊 Dialogflow CX 嘅機構，最好檢查清楚有冇開咗 prompt security check 功能 ^D，同埋睇清楚邊啲身份有「dialogflow.playbooks.update」呢個權限——呢個就係成個攻擊鏈嘅起點。^V