Una falla in Google Dialogflow CX avrebbe potuto consentire agli aggressori di prendere il controllo dei chatbot nei progetti condivisi

Google ha corretto una grave vulnerabilità in Dialogflow CX che avrebbe potuto consentire a un aggressore con privilegi di modifica limitati di prendere il controllo di altri chatbot nello stesso progetto Google Cloud, secondo una ricerca di Varonis. La falla interessava gli agenti creati con Playbook e Code Block personalizzati, una funzionalità che consente agli sviluppatori di eseguire il proprio codice Python durante le conversazioni con i chatbot.

Sebbene il problema non fosse sfruttabile da remoto senza disporre dell'accesso, creava una pericolosa possibilità per chiunque potesse modificare un agente con Code Block abilitati. Con l'autorizzazione dialogflow.playbooks.update su un singolo agente, un aggressore avrebbe potuto potenzialmente interferire con altri agenti che condividevano lo stesso ambiente di runtime, monitorare le conversazioni in corso, estrarre i dati inviati dagli utenti e inviare messaggi progettati per indurre le persone a rivelare informazioni sensibili come le password.

Un runtime condiviso ha creato un rischio imprevisto

Secondo Varonis, il problema derivava dal modo in cui Dialogflow CX gestiva i Code Block all'interno di un ambiente Cloud Run gestito da Google. Gli agenti dello stesso progetto condividevano quell'ambiente e i ricercatori hanno scoperto che il file wrapper utilizzato per eseguire il codice era scrivibile. In pratica, ciò significava che un Code Block malevolo poteva sostituire il file con una versione modificata, che sarebbe stata poi eseguita da più agenti.

Una volta accaduto ciò, il runtime alterato avrebbe avuto lo stesso livello di accesso del codice legittimo del chatbot, inclusi la cronologia delle conversazioni e i dati delle sessioni. Una versione compromessa avrebbe potuto inoltrare silenziosamente le conversazioni degli utenti a un server esterno e istruire il bot a inviare risposte controllate dall'aggressore. I ricercatori hanno inoltre identificato due debolezze correlate: l'accesso a Internet in uscita dalla sandbox e l'esposizione all'Instance Metadata Service, che avrebbe potuto essere utilizzato per recuperare i dati relativi all'identità cloud.

Registrazione minima, ma nessun segno di abuso

Google e Varonis hanno dichiarato che non ci sono prove dello sfruttamento della falla in attacchi reali. Il problema è stato segnalato tramite il Vulnerability Reward Program di Google alla fine del 2025, parzialmente corretto ad aprile 2026 e completamente risolto a giugno 2026. Non è stato assegnato alcun CVE.

Poiché la compromissione avveniva all'interno dell'ambiente gestito da Google, la visibilità dei clienti era limitata. Varonis raccomanda alle organizzazioni che utilizzano Dialogflow CX di esaminare i log di accesso e di audit, prestando particolare attenzione a modifiche impreviste ai playbook o a comportamenti anomali negli agenti che utilizzavano i Code Block.

• Verificare chi dispone dei diritti dialogflow.playbooks.update
• Esaminare i log DATA_WRITE di Dialogflow alla ricerca di modifiche impreviste ai playbook
• Controllare la presenza di errori insoliti o richieste non riuscite in Cloud Logging
• Verificare che ogni Code Block nella console sia stato approvato

Il caso evidenzia una lezione più ampia per le piattaforme di intelligenza artificiale: una funzionalità che appare come una semplice autorizzazione alla modifica dei contenuti può in realtà equivalere all'esecuzione di codice quando sono coinvolti runtime condivisi.