Un solo agente può prendere il controllo di Dialogflow CX
In Dialogflow CX il problema non era il singolo chatbot, ma il runtime condiviso che sta sotto tutti i Code Blocks del progetto. Se un agente era modificabile, quel diritto bastava a far eseguire codice con la stessa fiducia degli altri agenti e a leggere o alterare conversazioni live su tutto il perimetro del progetto.
Varonis ha trovato il difetto, chiamato Rogue Agent, e Google lo ha già corretto. Il bug riguardava solo gli ambienti che usano Dialogflow Playbooks e custom Code Blocks, e richiedeva il permesso dialogflow.playbooks.update su un agente; non era un attacco remoto anonimo, ma un rischio per account sviluppatore compromessi o interni malevoli. Il punto debole era il file di bootstrap del runtime, comune a tutti gli agenti nello stesso Google Cloud project.
La conseguenza è che il modello di fiducia per-agente non regge: un diritto di modifica su un bot può diventare esecuzione di codice e esposizione dei contenuti di tutti gli altri bot nello stesso progetto.
Dialogflow CX 'Rogue Agent' Flaw Enabled AI Chatbot Data Theft
Varonis reported the flaw to Google in late 2025 and it has been addressed, but it reminds defenders to take a look at their AI Infrastructure security.