Lỗ hổng “Rogue Agent” trong Google Dialogflow CX có thể cho phép chiếm quyền chatbot qua Code Blocks
"A critical flaw in Google Dialogflow CX's Code Blocks could have allowed an attacker with edit permissions on one Playbooks-enabled agent to compromise other agents in the same Google Cloud project, enabling conversation theft and phishing-style message injection. Varonis reported the issue through Google’s VRP; Google fixed it in stages by April 2026 and fully resolved it in June 2026, with no CVE assigned and no evidence of real-world exploitation."
Nguy cơ cao do có thể dẫn tới chiếm quyền runtime và đọc/tiêm nội dung hội thoại giữa các agent trong cùng project; yêu cầu dialogflow.playbooks.update nhưng phạm vi lan rộng. Điểm then chốt: ghi đè code_execution_env.py trong môi trường chia sẻ, outbound internet hỗ trợ rò rỉ và điều khiển từ xa.
Tác động vận hành đáng kể vì có thể gây rò rỉ dữ liệu khách hàng và làm giảm niềm tin vào chatbot (nguy cơ lừa đảo/phishing). Tuy nhiên, điều kiện khai thác cần quyền chỉnh sửa playbook nên mức độ phổ biến có thể hạn chế theo cấu hình và quản trị quyền nội bộ.
Một lỗ hổng nghiêm trọng trong Google Dialogflow CX Code Blocks có thể cho phép kẻ tấn công, với quyền chỉnh sửa trên một agent bật Playbooks, lan sang các agent khác trong cùng Google Cloud project. Từ đó, kẻ tấn công có thể đọc hội thoại trực tiếp, đánh cắp dữ liệu người dùng và chèn tin nhắn theo kiểu lừa đảo, ví dụ yêu cầu người dùng nhập lại mật khẩu.
Theo hãng nghiên cứu Varonis (báo qua Google VRP), vấn đề chỉ ảnh hưởng các tổ chức cấu hình agent dùng Playbooks và custom Code Blocks (cho phép chèn Python do nhà phát triển viết). Lỗ hổng không phải dạng tấn công từ xa, không cần xác thực; kẻ tấn công cần có quyền dialogflow.playbooks.update trên một agent.
Cơ chế chính liên quan đến môi trường chạy chung: file code_execution_env.py trong runtime được chia sẻ và có thể bị ghi đè, khiến mã độc chạy cho mọi lần thực thi Code Blocks. Ngoài ra, sandbox còn có outbound internet và có thể truy cập IMDS (cấp token cho service account quản lý).
Google đã sửa theo giai đoạn (ban đầu tháng 4/2026, hoàn tất 6/2026), và không có dấu hiệu bị khai thác ngoài thực tế. Khuyến nghị: rà soát ai đang có dialogflow.playbooks.update, đối chiếu DATA_WRITE audit logs cho cập nhật playbook bất thường, kiểm tra Cloud Logging các yêu cầu lỗi, và xác nhận mọi Code Block trong console đều là mã đã phê duyệt.