Une vulnérabilité corrigée de Google Dialogflow CX montre comment une autorisation de modification d’un chatbot peut devenir un risque pour la sécurité du cloud.
Varonis Threat Labs a divulgué la faille, baptisée Rogue Agent, après avoir découvert qu’un attaquant disposant d’un accès de mise à jour des playbooks pouvait potentiellement détourner des conversations de chatbot et atteindre d’autres agents au sein du même projet Google Cloud. Pour les entreprises qui déploient des agents IA dans le service client, le support informatique, la finance, les soins de santé ou les opérations internes, ce cas place les autorisations des chatbots dans la même catégorie de risques que les autres contrôles cloud en production.
Varonis a signalé le problème à Google en novembre 2025. Google a publié une première mise à jour de sécurité en avril 2026 et a résolu le problème en juin 2026, a rapporté Axios. Varonis n’a trouvé aucune preuve d’exploitation, et Google a déclaré ne disposer d’aucun indice connu d’une compromission de clients ni d’aucune mesure à prendre de leur part.
Comment une autorisation de chatbot est devenue un risque pour la plateforme
Le vecteur d’attaque passait par la fonctionnalité de Dialogflow CX Code Blocks, qui permet aux développeurs d’ajouter du code Python intégré à la logique des playbooks. Cette personnalisation introduit également une logique exécutable dans les workflows des chatbots, ce qui rappelle les inquiétudes suscitées par les outils de programmation IA disposant d’un accès à l’environnement local.
Selon Varonis, un attaquant disposant de l’autorisation dialogflow.playbooks.update sur un agent pouvait insérer du code malveillant dans le pipeline du playbook. Cet accès pouvait permettre de capturer des données de conversation ou de tromper les utilisateurs afin qu’ils partagent des informations sensibles par l’intermédiaire de l’agent lui-même.
Le risque pouvait dépasser le premier agent ciblé, car plusieurs agents Dialogflow CX d’un même projet Google Cloud pouvaient partager un environnement d’exécution géré. Selon Varonis, un agent compromis pouvait affecter d’autres agents du projet, créant un mouvement latéral au niveau de la plateforme IA.
Avant la correction apportée par Google, les clients de Dialogflow CX utilisant Playbook Code Blocks dans les configurations concernées étaient potentiellement exposés. Aucun CVE ni avis de sécurité Google autonome n’a été trouvé dans les sources examinées ; les mécanismes d’exploitation et la portée interagents doivent donc rester attribués à Varonis.
La faille de contrôle des agents IA d’entreprise
Les équipes de sécurité doivent identifier les utilisateurs et les comptes de service qui peuvent mettre à jour les playbooks Dialogflow CX et limiter cet accès aux identités qui en ont besoin. Une autorisation qui semble régir le comportement d’un chatbot peut avoir un rayon d’impact bien plus large si l’agent peut exécuter du code ou influencer une infrastructure d’exécution partagée.
Les équipes doivent vérifier si les modifications de configuration des agents sont consignées, à quelle fréquence ces journaux sont consultés et si plusieurs agents partagent une infrastructure d’exécution. Google a déclaré qu’aucune action de la part des clients n’était nécessaire, mais les entreprises qui déploient des chatbots traitant des données sensibles peuvent tout de même vouloir vérifier l’absence de modifications non autorisées des playbooks avant la correction de juin 2026.
Le problème ne se limite pas à Dialogflow CX. Les agents IA sont utilisés dans le service client, le support informatique, la finance, les soins de santé et les opérations internes, où des contrôles d’accès trop laxistes pourraient exposer des données réglementées, des identifiants, des informations de compte ou des workflows métier. Cette même inquiétude concernant les risques liés aux données alimente les débats politiques sur les données de santé des chatbots IA.
Le National Cybersecurity Center of Excellence du NIST étudie des recommandations en matière d’identité et d’autorisation pour les logiciels et les agents IA, tandis que les risques liés à la gouvernance de l’IA s’intègrent à la planification des entreprises. En attendant la maturation de recommandations propres aux agents, les entreprises doivent traiter les agents capables d’exécuter du code, d’appeler des outils ou de manipuler des données clients comme des workloads de production, avec des autorisations limitées, la journalisation des modifications, une gestion rigoureuse des comptes de service et un cloisonnement au moment de l’exécution.
À lire aussi : des chercheurs en sécurité ont également documenté le premier cas connu de rançongiciel agentique, montrant comment les menaces IA autonomes passent de la théorie aux attaques réelles.