Une faille de Google Dialogflow CX aurait pu permettre à des attaquants de prendre le contrôle de chatbots dans des projets partagés

Google a corrigé une grave faille de sécurité dans Dialogflow CX qui aurait pu permettre à un attaquant disposant de privilèges de modification limités de prendre le contrôle d’autres chatbots au sein du même projet Google Cloud, selon des recherches de Varonis. La faille affectait les agents conçus avec des Playbooks et des Code Blocks personnalisés, une fonctionnalité qui permet aux développeurs d’exécuter leur propre code Python pendant les conversations avec les chatbots.

Bien que le problème ne fût pas exploitable à distance sans accès préalable, il créait une voie dangereuse pour toute personne pouvant modifier un agent utilisant des Code Blocks. Avec l’autorisation dialogflow.playbooks.update sur un seul agent, un attaquant pouvait potentiellement interférer avec d’autres agents partageant le même environnement d’exécution, surveiller des conversations en direct, extraire les données fournies par les utilisateurs et envoyer des messages conçus pour les inciter à révéler des informations sensibles telles que des mots de passe.

Un environnement d’exécution partagé à l’origine d’un risque inattendu

Selon Varonis, le problème provenait de la manière dont Dialogflow CX gérait les Code Blocks dans un environnement Cloud Run géré par Google. Les agents d’un même projet partageaient cet environnement, et les chercheurs ont découvert que le fichier d’encapsulation utilisé pour exécuter le code était accessible en écriture. En pratique, cela signifiait qu’un Code Block malveillant pouvait remplacer ce fichier par une version modifiée, qui s’exécutait ensuite sur plusieurs agents.

Une fois cette modification effectuée, l’environnement d’exécution altéré disposait des mêmes accès que le code légitime du chatbot, notamment à l’historique des conversations et aux données de session. Une version compromise pouvait transférer discrètement les conversations des utilisateurs vers un serveur externe et demander au bot d’envoyer des réponses contrôlées par l’attaquant. Les chercheurs ont également identifié deux faiblesses connexes : l’accès sortant à Internet depuis le bac à sable et l’exposition au service de métadonnées d’instance, qui pouvait être utilisé pour récupérer des données d’identité cloud.

Peu de journaux, mais aucun signe d’exploitation

Google et Varonis ont tous deux indiqué qu’aucun élément ne prouvait que la faille avait été utilisée dans des attaques réelles. Le problème a été signalé dans le cadre du programme de récompenses pour la découverte de vulnérabilités de Google à la fin de 2025, partiellement corrigé en avril 2026, puis entièrement résolu en juin 2026. Aucun CVE n’a été attribué.

La compromission s’étant produite au sein de l’environnement géré par Google, la visibilité des clients était limitée. Varonis recommande aux organisations utilisant Dialogflow CX d’examiner les accès et les journaux d’audit, en particulier pour détecter les modifications inattendues des playbooks ou les comportements inhabituels des agents qui utilisaient des Code Blocks.

• Auditer les personnes disposant de l’autorisation dialogflow.playbooks.update
• Examiner les journaux DATA_WRITE de Dialogflow à la recherche de modifications inattendues des playbooks
• Rechercher des erreurs inhabituelles ou des requêtes ayant échoué dans Cloud Logging
• Vérifier que chaque Code Block présent dans la console est approuvé

Cette affaire met en évidence un enseignement plus large pour les plateformes d’IA : une fonctionnalité qui semble correspondre à une simple autorisation de modification de contenu peut en réalité permettre l’exécution de code lorsque des environnements d’exécution sont partagés.