Varonis研究人員發現，這些程式碼區塊在「代理人與代理人」之間缺乏足夠的隔離機制 。攻擊鏈的運作方式如下：

1. 攻擊者只要對「某一個」啟用了程式碼區塊功能的Dialogflow CX代理人，擁有 dialogflow.playbooks.update 權限，就能夠匯入一個惡意的Playbook 。
2. 這個惡意Playbook會將持久的Python程式碼注入到共享的程式碼區塊執行環境中 。
3. 由於同一個Google Cloud專案（Project）內的多個AI代理人，共享相同的底層程式碼執行環境，攻擊者注入的惡意程式碼便會在其他原本無權存取的代理人的執行環境中執行 。

這個核心漏洞被追蹤為 CVE-2026-4764，其根本原因是Playbook匯入功能缺少必要的授權檢查 。該漏洞的CVSS風險評分高達9.4，屬於「重大（Critical）」等級 。

攻擊者能利用漏洞做什麼？

一旦惡意程式碼成功在受害代理人內部執行，攻擊者將能 ：

• 監聽即時對話：悄悄監控所有受害聊天機器人的即時用戶互動，無論是客服對話、金融服務機器人還是醫療助理，都無所遁形。
• 冒充AI機器人：透過受害機器人發送由攻擊者撰寫的訊息，誘騙用戶交出密碼、保險資料、財務數據或其他敏感資訊 。
• 橫向擴散攻擊：從一個被攻破的代理人出發，向同一個Google Cloud專案中所有其他啟用程式碼區塊功能的AI代理人發動攻擊，將低權限的角色一舉提升為近乎整個專案的掌控者 。

漏洞揭露與修補時程

• 2025年11月：Varonis最初發現此問題 。
• 2026年3月15日：Google針對Playbook匯入端點的缺少授權漏洞（CVE-2026-4764）發布了首次修補 。
• 2026年4月：Google發布了「首次安全更新」，但並未完全解決問題 。
• 2026年6月：Google透過第二次修補，徹底解決了此漏洞 。

Google方面證實，客戶無需為此採取任何行動 。

除了核心漏洞，還發現了哪些弱點？

Varonis指出，共享程式碼區塊執行環境的AI代理人之間的隔離機制存在根本性不足。即使修補了Playbook匯入的授權問題，只要任何一個AI代理人遭到入侵，其架構設計本身仍可能導致跨代理人程式碼執行。這是一個設計層面的缺陷，也是為什麼需要等到2026年6月的第二次修補才能完全解決的原因。

此外，Google也在代理人設定中新增了 「提示安全檢查（prompt security check）」 功能，幫助偵測並阻擋提示注入（Prompt Injection）攻擊，這類攻擊同樣可能被用在類似的漏洞利用鏈中 。

這個漏洞在修補前已被利用嗎？

沒有證據顯示此漏洞在修補前曾遭到實際利用 。一名Google Cloud發言人表示：「我們沒有任何已知的客戶受害跡象，客戶無需採取任何行動。」

對AI安全的啟示

「Rogue Agent」漏洞的出現，為我們敲響了一記警鐘：許多AI代理人平台底層的安全模型，尚未追上多租戶（Multi-Tenant）與可執行自訂程式碼的複雜環境。隨著越來越多的企業部署能執行自訂程式碼的對話式AI代理人，這種共享執行環境所帶來的攻擊面將成為一個至關重要的安全考量。

使用Dialogflow CX的企業組織，應確認已啟用提示安全檢查功能 ，並審計哪些身分具有 dialogflow.playbooks.update 權限——此單一權限正是這條攻擊鏈的起點 。

Varonis研究人員發現，這些程式碼區塊在「代理人與代理人」之間缺乏足夠的隔離機制 。攻擊鏈的運作方式如下：

1. 攻擊者只要對「某一個」啟用了程式碼區塊功能的Dialogflow CX代理人，擁有 dialogflow.playbooks.update 權限，就能夠匯入一個惡意的Playbook 。
2. 這個惡意Playbook會將持久的Python程式碼注入到共享的程式碼區塊執行環境中 。
3. 由於同一個Google Cloud專案（Project）內的多個AI代理人，共享相同的底層程式碼執行環境，攻擊者注入的惡意程式碼便會在其他原本無權存取的代理人的執行環境中執行 。

這個核心漏洞被追蹤為 CVE-2026-4764，其根本原因是Playbook匯入功能缺少必要的授權檢查 。該漏洞的CVSS風險評分高達9.4，屬於「重大（Critical）」等級 。

攻擊者能利用漏洞做什麼？

一旦惡意程式碼成功在受害代理人內部執行，攻擊者將能 ：

• 監聽即時對話：悄悄監控所有受害聊天機器人的即時用戶互動，無論是客服對話、金融服務機器人還是醫療助理，都無所遁形。
• 冒充AI機器人：透過受害機器人發送由攻擊者撰寫的訊息，誘騙用戶交出密碼、保險資料、財務數據或其他敏感資訊 。
• 橫向擴散攻擊：從一個被攻破的代理人出發，向同一個Google Cloud專案中所有其他啟用程式碼區塊功能的AI代理人發動攻擊，將低權限的角色一舉提升為近乎整個專案的掌控者 。

漏洞揭露與修補時程

• 2025年11月：Varonis最初發現此問題 。
• 2026年3月15日：Google針對Playbook匯入端點的缺少授權漏洞（CVE-2026-4764）發布了首次修補 。
• 2026年4月：Google發布了「首次安全更新」，但並未完全解決問題 。
• 2026年6月：Google透過第二次修補，徹底解決了此漏洞 。

Google方面證實，客戶無需為此採取任何行動 。

除了核心漏洞，還發現了哪些弱點？

Varonis指出，共享程式碼區塊執行環境的AI代理人之間的隔離機制存在根本性不足。即使修補了Playbook匯入的授權問題，只要任何一個AI代理人遭到入侵，其架構設計本身仍可能導致跨代理人程式碼執行。這是一個設計層面的缺陷，也是為什麼需要等到2026年6月的第二次修補才能完全解決的原因。

此外，Google也在代理人設定中新增了 「提示安全檢查（prompt security check）」 功能，幫助偵測並阻擋提示注入（Prompt Injection）攻擊，這類攻擊同樣可能被用在類似的漏洞利用鏈中 。

這個漏洞在修補前已被利用嗎？

沒有證據顯示此漏洞在修補前曾遭到實際利用 。一名Google Cloud發言人表示：「我們沒有任何已知的客戶受害跡象，客戶無需採取任何行動。」

對AI安全的啟示

「Rogue Agent」漏洞的出現，為我們敲響了一記警鐘：許多AI代理人平台底層的安全模型，尚未追上多租戶（Multi-Tenant）與可執行自訂程式碼的複雜環境。隨著越來越多的企業部署能執行自訂程式碼的對話式AI代理人，這種共享執行環境所帶來的攻擊面將成為一個至關重要的安全考量。

使用Dialogflow CX的企業組織，應確認已啟用提示安全檢查功能 ，並審計哪些身分具有 dialogflow.playbooks.update 權限——此單一權限正是這條攻擊鏈的起點 。