「叛變AI代理人」漏洞曝光：一個權限失控，整個Google Cloud專案的聊天機器人全淪陷

這個核心漏洞被追蹤為 CVE-2026-4764，其根本原因是Playbook匯入功能缺少必要的授權檢查 。該漏洞的CVSS風險評分高達9.4，屬於「重大（Critical）」等級 。

攻擊者能利用漏洞做什麼？

一旦惡意程式碼成功在受害代理人內部執行，攻擊者將能 ：

• 監聽即時對話：悄悄監控所有受害聊天機器人的即時用戶互動，無論是客服對話、金融服務機器人還是醫療助理，都無所遁形。
• 冒充AI機器人：透過受害機器人發送由攻擊者撰寫的訊息，誘騙用戶交出密碼、保險資料、財務數據或其他敏感資訊 。
• 橫向擴散攻擊：從一個被攻破的代理人出發，向同一個Google Cloud專案中所有其他啟用程式碼區塊功能的AI代理人發動攻擊，將低權限的角色一舉提升為近乎整個專案的掌控者 。

漏洞揭露與修補時程

• 2025年11月：Varonis最初發現此問題 。
• 2026年3月15日：Google針對Playbook匯入端點的缺少授權漏洞（CVE-2026-4764）發布了首次修補 。
• 2026年4月：Google發布了「首次安全更新」，但並未完全解決問題 。
• 2026年6月：Google透過第二次修補，徹底解決了此漏洞 。

Google方面證實，客戶無需為此採取任何行動 。

除了核心漏洞，還發現了哪些弱點？

Varonis指出，共享程式碼區塊執行環境的AI代理人之間的隔離機制存在根本性不足。即使修補了Playbook匯入的授權問題，只要任何一個AI代理人遭到入侵，其架構設計本身仍可能導致跨代理人程式碼執行。這是一個設計層面的缺陷，也是為什麼需要等到2026年6月的第二次修補才能完全解決的原因。

此外，Google也在代理人設定中新增了 「提示安全檢查（prompt security check）」 功能，幫助偵測並阻擋提示注入（Prompt Injection）攻擊，這類攻擊同樣可能被用在類似的漏洞利用鏈中 。

這個漏洞在修補前已被利用嗎？

沒有證據顯示此漏洞在修補前曾遭到實際利用 。一名Google Cloud發言人表示：「我們沒有任何已知的客戶受害跡象，客戶無需採取任何行動。」

對AI安全的啟示

「Rogue Agent」漏洞的出現，為我們敲響了一記警鐘：許多AI代理人平台底層的安全模型，尚未追上多租戶（Multi-Tenant）與可執行自訂程式碼的複雜環境。隨著越來越多的企業部署能執行自訂程式碼的對話式AI代理人，這種共享執行環境所帶來的攻擊面將成為一個至關重要的安全考量。

使用Dialogflow CX的企業組織，應確認已啟用提示安全檢查功能 ，並審計哪些身分具有 dialogflow.playbooks.update 權限——此單一權限正是這條攻擊鏈的起點 。