Schwachstelle in Google Dialogflow CX hätte Angreifern die Übernahme von Chatbots in gemeinsam genutzten Projekten ermöglichen können

Google hat eine schwerwiegende Sicherheitslücke in Dialogflow CX geschlossen, durch die ein Angreifer mit eingeschränkten Bearbeitungsrechten möglicherweise andere Chatbots im selben Google-Cloud-Projekt hätte übernehmen können. Das geht aus einer Untersuchung von Varonis hervor. Die Schwachstelle betraf Agenten, die mit Playbooks und benutzerdefinierten Code Blocks erstellt wurden – einer Funktion, mit der Entwickler während Chatbot-Unterhaltungen eigenen Python-Code ausführen können.

Obwohl das Problem ohne entsprechenden Zugriff nicht aus der Ferne ausgenutzt werden konnte, eröffnete es einen gefährlichen Angriffsweg für jeden, der einen Agenten mit aktiviertem Code Block ändern konnte. Mit der Berechtigung dialogflow.playbooks.update für einen einzelnen Agenten hätte ein Angreifer möglicherweise andere Agenten beeinträchtigen können, die dieselbe Laufzeitumgebung verwendeten, laufende Unterhaltungen überwachen, von Nutzern übermittelte Daten extrahieren und Nachrichten versenden können, die Menschen dazu bringen sollten, vertrauliche Informationen wie Passwörter preiszugeben.

Gemeinsam genutzte Laufzeitumgebung schuf unerwartetes Risiko

Nach Angaben von Varonis lag die Ursache in der Art und Weise, wie Dialogflow CX Code Blocks innerhalb einer von Google verwalteten Cloud-Run-Umgebung verarbeitete. Agenten im selben Projekt nutzten diese Umgebung gemeinsam. Die Forscher stellten fest, dass die Wrapper-Datei zur Ausführung des Codes beschreibbar war. In der Praxis bedeutete dies, dass ein bösartiger Code Block die Datei durch eine manipulierte Version ersetzen konnte, die anschließend über mehrere Agenten hinweg ausgeführt wurde.

Sobald dies geschehen war, verfügte die manipulierte Laufzeitumgebung über dieselben Zugriffsrechte wie legitimer Chatbot-Code, einschließlich des Zugriffs auf Unterhaltungsverläufe und Sitzungsdaten. Eine kompromittierte Version konnte Nutzerunterhaltungen unbemerkt an einen externen Server weiterleiten und den Bot anweisen, vom Angreifer kontrollierte Antworten zu senden. Die Forscher identifizierten außerdem zwei damit verbundene Schwachstellen: den ausgehenden Internetzugriff aus der Sandbox sowie den Zugriff auf den Instance Metadata Service, über den sich Daten zur Cloud-Identität abrufen ließen.

Minimale Protokollierung, aber keine Hinweise auf Missbrauch

Google und Varonis erklärten beide, dass es keine Hinweise darauf gebe, dass die Schwachstelle bei Angriffen in der Praxis ausgenutzt wurde. Das Problem wurde Ende 2025 über Googles Vulnerability Reward Program gemeldet, im April 2026 teilweise behoben und im Juni 2026 vollständig beseitigt. Eine CVE wurde nicht vergeben.

Da die Kompromittierung innerhalb der von Google verwalteten Umgebung stattfand, waren die Möglichkeiten der Kunden zur Überwachung eingeschränkt. Varonis empfiehlt Unternehmen, die Dialogflow CX einsetzen, Zugriffs- und Audit-Protokolle zu überprüfen – insbesondere im Hinblick auf unerwartete Änderungen an Playbooks oder ungewöhnliches Verhalten bei Agenten, die Code Blocks verwendeten.

• Überprüfen Sie, wer über die Berechtigung dialogflow.playbooks.update verfügt
• Prüfen Sie Dialogflow-DATA_WRITE-Protokolle auf unerwartete Änderungen an Playbooks
• Achten Sie in Cloud Logging auf ungewöhnliche Fehler oder fehlgeschlagene Anfragen
• Stellen Sie sicher, dass jeder Code Block in der Konsole genehmigt ist

Der Fall verdeutlicht eine wichtige allgemeine Erkenntnis für KI-Plattformen: Eine Funktion, die scheinbar nur die Bearbeitung von Inhalten erlaubt, kann bei gemeinsam genutzten Laufzeitumgebungen tatsächlich einer Codeausführung gleichkommen.