Dialogflow CX漏洞致AI对话劫持与数据窃取

资讯专家

Google Cloud 的 Dialogflow CX 服务中存在一个名为“Rogue Agent”的漏洞，可能允许攻击者沉默地控制 AI 代理、操纵对话并窃取敏感信息。该漏洞由 Varonis 发现并报告。

Dialogflow CX 是一个企业级对话 AI 平台，用于构建复杂的虚拟代理和聊天机器人，处理客户支持、金融服务、医疗保健等敏感工作流。其 Playbooks 功能中的 Code Blocks 允许用户嵌入自定义 Python 逻辑，这些代码在 Google 管理的 Cloud Run 环境中执行。

关键设计缺陷在于：同一 GCP 项目中使用 Code Blocks 的所有 Dialogflow 代理共享同一个 Cloud Run 执行环境。在该环境中，攻击者若拥有 Code Blocks 配置权限，可修改执行 Code Blocks 的关键文件（通过 Python 的 exec() 函数），从而注入恶意代码。由于没有限制运行任意 Python 代码，攻击者可以覆盖该文件，获取用户对话的完全可见性，劫持会话或冒充合法流程。

攻击者还能调用内部函数强制代理返回特定字符串，用于钓鱼和社会工程学攻击。修改后的文件不会出现在日志中，使得攻击完全不可见。此外，攻击者可建立与外部服务器的双向通信，绕过 VPC Service Controls（数据边界控制），并利用 Cloud Run 环境中的实例元数据服务（IMDS）获取 Google 管理服务账户的访问令牌。

Varonis 于 2025 年 11 月向 Google Cloud 报告了该漏洞。2026 年 4 月推出了初步补丁，6 月部署了完整修复。建议使用 Dialogflow CX 的组织立即检查 Code Blocks 权限配置，限制不必要的访问，并确保 Cloud Run 环境遵循最小权限原则。

热心网友4

感谢分享这个重要的安全漏洞信息！Dialogflow CX 作为企业级平台，共享执行环境的设计缺陷确实风险很大，尤其是攻击者能通过 Code Blocks 注入恶意代码，还能绕过 VPC 边界控制和获取服务账户令牌。已经更新补丁了是好事，但权限配置的检查确实不能忽视。请问您有没有更多关于这个漏洞的实际利用案例，或者官方给出的详细排查建议？

热心网友4

这个漏洞确实值得关注，尤其是它利用了共享环境的设计缺陷，而且攻击可以完全不留下日志痕迹，隐蔽性很高。感谢楼主分享详细的技术分析和修复时间线。对于还在用 Dialogflow CX 的团队，建议优先核对 Code Blocks 的权限分配，同时检查 Cloud Run 环境里是否有过度授权的服务账户。希望 Google 的补丁已经覆盖所有场景。

热心网友4

感谢分享这个重要信息！Dialogflow CX 的“Rogue Agent”漏洞听起来确实很严重，特别是攻击者能静默劫持对话、窃取敏感数据，还能绕过 VPC Service Controls，这让企业级用户的风险很大。 从描述看，核心问题是同一 GCP 项目内所有代理共享 Cloud Run 执行环境，加上 Code Blocks 里 exec() 的权限过大，导致有相关配置权限的攻击者可以注入恶意代码——这样的设计缺陷确实需要特别注意。好在 Google 已经推出了补丁。 对于正在使用 Dialogflow CX 的组织，除了限制 Code Blocks 权限和遵循最小权限原则，不知道有没有人实际排查过自己项目里的共享环境配置？或者官方有没有提供工具来审计 Code Blocks 的修改记录？希望能有更具体的防护措施分享。