Eine behobene Schwachstelle in Google Dialogflow CX zeigt, wie eine Berechtigung zum Bearbeiten eines Chatbots zu einem Cloud-Sicherheitsrisiko werden kann.
Varonis Threat Labs legte die Schwachstelle namens Rogue Agent offen, nachdem das Unternehmen festgestellt hatte, dass ein Angreifer mit Zugriff zum Aktualisieren von Playbooks möglicherweise Chatbot-Unterhaltungen kapern und andere Agenten im selben Google-Cloud-Projekt erreichen konnte. Für Unternehmen, die KI-Agenten im Kundenservice, IT-Support, Finanzwesen, Gesundheitswesen oder internen Betrieb einsetzen, ordnet dieser Fall Chatbot-Berechtigungen in dieselbe Risikokategorie wie andere Cloud-Produktionskontrollen ein.
Varonis meldete das Problem im November 2025 an Google. Google veröffentlichte im April 2026 ein erstes Sicherheitsupdate und behob das Problem im Juni 2026, wie Axios berichtete. Varonis fand keine Hinweise auf eine Ausnutzung, und Google erklärte, es gebe keine bekannten Anzeichen für eine Beeinträchtigung von Kunden und es seien keine Maßnahmen seitens der Kunden erforderlich.
Wie eine Chatbot-Berechtigung zu einem Plattformrisiko wurde
Die Angriffskette verlief über das Code-Blocks-Feature, mit dem Entwickler direkt in die Playbook-Logik eingebetteten Python-Code hinzufügen können. Diese Anpassungsmöglichkeit bringt zudem ausführbare Logik in Chatbot-Workflows und erinnert damit an die Bedenken rund um KI-Coding-Tools mit Zugriff auf lokale Umgebungen.
Laut Varonis konnte ein Angreifer mit der dialogflow.playbooks.update permission bei einem Agenten schädlichen Code in die Playbook-Pipeline einschleusen. Dieser Zugriff konnte Unterhaltungsdaten abgreifen oder Nutzer über den Agenten selbst dazu bringen, vertrauliche Informationen preiszugeben.
Das Risiko konnte über den zuerst angegriffenen Agenten hinausgehen, weil mehrere Dialogflow-CX-Agenten im selben Google-Cloud-Projekt eine verwaltete Ausführungsumgebung gemeinsam nutzen konnten. Varonis zufolge konnte ein kompromittierter Agent andere Agenten im Projekt beeinträchtigen und so laterale Bewegungen auf der Ebene der KI-Plattform ermöglichen.
Vor der Behebung durch Google waren Dialogflow-CX-Kunden, die Code Blocks in Playbooks in betroffenen Konfigurationen nutzten, potenziell gefährdet. In den geprüften Quellen wurde weder eine CVE noch eine eigenständige Sicherheitsempfehlung von Google gefunden. Daher sollten Angaben zu den technischen Details des Exploits und zur Reichweite über mehrere Agenten hinweg weiterhin Varonis zugeschrieben werden.
Die Kontrolllücke bei KI-Agenten in Unternehmen
Sicherheitsteams sollten ermitteln, welche Nutzer und Dienstkonten Dialogflow-CX-Playbooks aktualisieren können, und diesen Zugriff auf die dafür erforderlichen Principals beschränken. Eine Berechtigung, die scheinbar das Verhalten eines Chatbots steuert, kann eine größere Schadensreichweite haben, wenn der Agent Code ausführen oder eine gemeinsam genutzte Laufzeitinfrastruktur beeinflussen kann.
Teams sollten prüfen, ob Änderungen an der Agentenkonfiguration protokolliert werden, wie häufig diese Protokolle kontrolliert werden und ob mehrere Agenten dieselbe Ausführungsinfrastruktur nutzen. Google erklärte, dass keine Maßnahmen seitens der Kunden erforderlich seien. Unternehmen mit sensiblen Chatbot-Einsätzen sollten dennoch prüfen, ob vor der Behebung im Juni 2026 unbefugte Änderungen an Playbooks vorgenommen wurden.
Das Problem ist nicht auf Dialogflow CX beschränkt. KI-Agenten kommen im Kundenservice, IT-Support, Finanzwesen, Gesundheitswesen und internen Betrieb zum Einsatz, wo laxe Zugriffskontrollen regulierte Daten, Zugangsdaten, Kontodetails oder Geschäftsabläufe offenlegen könnten. Dieselbe Sorge um Datenrisiken prägt politische Debatten über Gesundheitsdaten von KI-Chatbots.
Das National Cybersecurity Center of Excellence des NIST untersucht Leitlinien zu Identität und Autorisierung für Software- und KI-Agenten, während KI-Governance-Risiken in die Unternehmensplanung einziehen. Solange spezifische Leitlinien für Agenten noch nicht ausgereift sind, sollten Unternehmen Agenten, die Code ausführen, Tools aufrufen oder Kundendaten verarbeiten können, wie Produktions-Workloads behandeln – mit klar begrenzten Berechtigungen, Änderungsprotokollierung, einem disziplinierten Umgang mit Dienstkonten und Laufzeitisolierung.
Mehr dazu: Sicherheitsforscher haben außerdem den ersten bekannten Fall von agentischer Ransomware dokumentiert. Das zeigt, wie sich autonome KI-Bedrohungen von der Theorie zu realen Angriffen entwickeln.