Google Cloud Dialogflow CX の脆弱性 Rogue Agent：VPC-SC のバイパスと機密データの窃取

Google Dialogflow CX Flaw Lets Attackers Bypass VPC-SC and Steal Sensitive Chatbot Data

2026/07/08 gbhackers — Google Cloud の Dialogflow CX プラットフォームの深刻な脆弱性を悪用する攻撃者が、VPC Service Controls (VPC-SC) をバイパスし、機密性の高いチャットボット・データを密かに外部へ持ち出すことが可能となっていた。この問題は、エンタープライズ AI の導入におけるセキュリティについて、大きな懸念を生じさせている。

この脆弱性は Varonis Threat Labs により発見され、Rogue Agent と名付けられた。この欠陥が示すのは、Dialogflow CX がチャットボット・ワークフロー内でカスタムコードを実行する方法における、重大な設計上のギャップの露出である。この問題により、会話データおよびバックエンドとの統合機能が完全に侵害される可能性があった。

Dialogflow CX は、カスタマーサポート／金融サービス／ヘルスケアといった、さまざまな業界における会話型 AI システムで広く利用されている。これらの分野では、個人を特定できる情報 (PII)／支払い情報／社内の業務ロジックといった、機密性の高いデータがボットにより処理されることが多い。

この問題の中核は、プラットフォームの Playbooks における Code Blocks 機能にある。この機能により、開発者は Python コードをチャットボット・フローへ埋め込み、動的な処理および API との連携を実現している。

Google Dialogflow CX の脆弱性

研究者たちによると、同一プロジェクト内のエージェント間で共有される、Google の Cloud Run 環境内で Code Blocks は実行される。このアーキテクチャは、デプロイおよびスケーリングを容易にする一方で、重大な信頼境界の問題を生み出している。

この実行環境は、顧客の管理の外側で動作し、可視性も提供されない。また、デフォルトでアウトバウンド・インターネット・アクセスが許可されているため、外部へのデータの持ち出しを防止するために設計された VPC-SC 保護は回避されてしまう。

この脆弱性の悪用に必要な権限は、dialogflow.playbooks.update の 1 つだけである。この権限を持つ攻撃者は、任意の Python コードを Playbook に挿入し、共有 Cloud Run 環境における不十分な分離制御を悪用できる。

研究者たちが確認したのは、内部の実行ロジックが Python の exec() 関数に依存しており、主要コンポーネントが “code_execution_env.py” という書き込み可能なファイルに保存されていることである。つまり、このファイルを上書きすることで、攻撃者は全チャットボットとのインタラクションを傍受し、会話履歴を抽出し、リアルタイムでレスポンスを改竄できる。

この設計上の欠陥により、完全な会話ログやセッション・メタデータを含む、実行時の機密性が高い変数への直接のアクセスが可能になった。また、攻撃者は内部のレスポンス関数を悪用してチャットボットを装えるため、正規の会話中に極めて巧妙なフィッシング攻撃を仕掛けられる。

たとえば、侵害されたエージェントが、再認証を装いながらユーザーに認証情報の入力を促し、不審に思われることなく機密性の高い情報を取得するといった、シナリオが成立する。

さらに、この脆弱性により、VPC Service Controls の完全なバイパスが可能になる。Cloud Run 環境にはアウトバウンド接続の制限が存在しないため、攻撃者は標準ライブラリを使用して外部との通信チャネルを確立し、チャットボットを秘密のプロキシとして利用できた。

これにより、データの外部持ち出しだけではなく、コマンド＆コントロール (C2) の機能も実現するため、ネットワーク境界で適用されるゼロトラストの前提が損なわれる。

関連する調査結果として研究者が確認したのは、実行環境内での Instance Metadata Service (IMDS) の露出である。この露出により、Google が管理するサービス・アカウントのアクセス・トークンが取得可能になる。

これらのトークンの権限は限定的ではあるが、その取得が可能であること自体が、分離の基本原則に反している。また、ミスコンフィグが存在する場合には、そこから権限昇格につながる可能性も生じていた。

Rogue Agent 攻撃チェーンでは、その高い秘匿性も強く懸念される。実行環境に対する悪意の変更が Cloud Logging に記録されないため、悪用に成功した攻撃者によりコンフィグの修復が可能となり、フォレンジックの痕跡がほとんど残されない。そのため、詳細な監査ログや振る舞い監視を備えていない環境では、検知が極めて困難となる。

この脆弱性は 2025年11月の時点で、Varonis から Google に報告された。Google は、2026年4月に部分的な緩和策を提供し、2026年6月には問題を完全に修正した。すでに、すべての影響を受けるコンポーネントに対してパッチが適用済みであり、開示前に実環境で悪用された証拠は確認されていないと、Google は説明している。

脆弱性 Rogue Agent が浮き彫りにするのは、クラウド・ネイティブ AI システムの保護における根本的な課題である。VPC-SC のような十分に確立された保護機能であっても、実行環境が顧客の管理外で動作する場合には、有効に機能しなくなる可能性がある。AI がエンタープライズのワークフローへと統合される中、同様の重大な脅威を防止するには、可視性／分離／厳格な実行制御を確保することが不可欠となる。

訳者後書：会話型 AI を構築するための Google Cloud の Dialogflow CX ですが、プログラムを動かす領域の境界制御が不十分だったことで、認証や境界防御がバイパスされる不備が見つかりました。この問題の背景には、チャットボット内で高度な処理を行うための開発用カスタムコード実行環境において、外部への通信制限やログ記録が不足していたという設計上の隙があります。もし悪意の人物にシステムへ侵入された場合には、会話の内容や顧客の個人情報が密かに盗み見られたり、ボットの応答を書き換えられて偽の入力画面へ誘導されたりする恐れがありました。すでに Google により対策は完了していますが、開発時に不要な編集権限を絞り、ログの監査体制を整えておくことが大切です。