北京
如果你在一個共享辦公空間里，只需要一把鑰匙就能打開所有人的抽屜，會發生什么？Varonis安全團隊在谷歌云的AI對話平臺Dialogflow CX里，發現的就是這么一把“鑰匙”——不需要管理員權限，只要拿到一個聊天機器人的編輯資格，就能控制整個項目下的所有AI代理。
Dialogflow CX是谷歌用來搭建語音和文字聊天機器人的平臺，開發者可以在對話“劇本”里插入Code Blocks，本質上就是自定義的Python代碼片段。問題在于，這些代碼片段全跑在同一個谷歌托管的Cloud Run服務里，而且是跨代理共享的。研究負責人打了個比方：這不是隔間，這是通鋪。
攻擊路徑比想象中更簡單。惡意代碼不需要繞過復雜的權限體系，因為它本身就是合法功能的一部分。研究人員解釋，Cloud Run環境沒有代碼限制，文件系統可寫、可以連接外部網絡，還頂著超額權限在運行。攻擊者可以直接覆蓋關鍵文件，植入邏輯炸彈，而聊天記錄和會話狀態就像攤在桌上一樣，隨便翻。
更隱蔽的是，攻擊者不光能偷看歷史對話，還能調用內部函數、偽造大模型生成的回復。設想一下，一個客服機器人在你輸入銀行卡號后，突然彈出一條“系統升級中，請重新驗證支付密碼”的消息——這條消息不是來自任何黑客的電腦，而是來自你正在對話的“官方機器人”本身。憑證竊取和釣魚攻擊就這樣在眼皮底下發生，受害者幾乎不會起疑。
因為Cloud Run環境是按項目共享的，一個代理淪陷意味著項目下所有代理集體被控。而問題檢測幾乎不可能：Cloud Logging不會記錄文件覆蓋行為，也不會標記注入的邏輯。研究團隊用的原話是“實質上不可察覺”。
時間線追得也清楚。Varonis在2025年11月向谷歌提交了漏洞報告，谷歌在2026年4月放出了初步修復，但直到2026年6月才徹底解決問題。目前還沒有證據表明漏洞被野外利用，但研究人員還是給企業客戶列了幾條保命措施：審查Playbooks更新調用的DATA_WRITE審計日志，檢查異常的會話檢測錯誤，以及——最原始但也最管用的一招——逐個手動檢查每個代理的Code Blocks，看看有沒有不該出現的代碼。
這件事的核心矛盾在于：平臺在設計上給了開發者極高的靈活性，自定義代碼能跑、能寫文件、能聯網，這本身是功能，不是Bug。但安全邊界一旦沒有畫清楚，靈活性就變成了攻擊面。Varonis這次發現的不是一個代碼缺陷，而是一個架構設計上的信任假設出了問題——系統默認同一個項目下的所有代理都是“自己人”，但“自己人”的權限是可以被篡改的。
對于正在用或打算用AI代理平臺的企業來說，這份報告拋出的不是修補建議，而是一個底線問題：你們對“平臺自己人”的信任邊界，到底劃在哪里？
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
