Dialogflow CXに脆弱性、AI悪用の恐れ判明

結論

セキュリティ企業Varonisの研究者は、GoogleのAIチャットボット構築基盤Dialogflow CXに「Rogue Agent」と名付けた重大な脆弱性を発見したと公表した。1つのチャットボットに対する軽い編集権限があれば、同じクラウドプロジェクト内にある他社の別のチャットボットの会話を盗み見たり、悪意のあるメッセージを差し込んだりできる状態だったという。Googleはすでに修正を完了しており、顧客情報が実際に流出した形跡は確認されていないとしている。カスタマーサポートにAIチャットボットを使う企業にとって、権限設計の見落としがどれほど深刻な被害につながりうるかを示す事例だ。

いつ、誰が、何を発表したか

Varonisの脅威分析チームは、Dialogflow CXの「コードブロック」という機能を悪用し、チャットボットの処理の流れに悪意あるコードを恒久的に埋め込めることを確認した。悪用に必要な権限は、Dialogflowのエージェントに対する更新権限1つだけだったとされる。この欠陥を突かれると、攻撃者は会話内容を外部に送信させたり、大規模なフィッシングに使う偽メッセージを紛れ込ませたりできる状態だった。

Varonisは2025年11月にこの問題をGoogleへ報告し、Googleは今年4月に初期の修正を施したうえで、先月までに完全な対応を終えたという。Dialogflow CXは、カスタマーサポートや金融、医療分野など、機密性の高い顧客データを扱うチャットボットの構築に広く使われている基盤だ。AI関連の脆弱性はこれまでも相次いで見つかっており、AIゲートウェイLiteLLMに深刻な脆弱性。APIキー流出の恐れやAIコード編集ツールCursorに深刻な脆弱性、最高値の危険度のように、AIを組み込んだツールの権限設計そのものが攻撃対象になるケースが増えている。

今回の欠陥が深刻だったのは、必要な権限の水準が極めて低かった点にある。管理者権限のような強い権限ではなく、1つのチャットボットに対する更新権限だけで、同じプロジェクト内の他のボットにまで影響が及ぶ設計になっていた。これは、AIエージェント同士やプロジェクト内のリソース同士の権限の境界線が、開発時点で十分に検証されていなかったことを示している。AIチャットボットの機能が複雑になるほど、こうした権限の境界設計は難しくなり、同種の見落としは他のプラットフォームでも起こりうる。

現場の実務にどう効くか

自社のカスタマーサポートやコールセンターにAIチャットボットを導入している企業は、今回のような権限管理の不備が起きていないか、利用しているクラウドサービスの設定を点検する必要がある。特に、複数のチャットボットを同じプロジェクトやアカウント内で運用している場合、1つのボットへの軽微な編集権限が他のボットにまで影響しないかを確認することが重要だ。AI機能の悪用パターンとしてはプロンプトインジェクションとは？仕組みと企業の対策で扱った手口とも共通する部分があり、権限の最小化という基本原則を徹底することが対策の出発点になる。

情報システム部門の担当者は、社内でAIチャットボットの編集権限を持つ人員を棚卸しし、業務上必要な範囲に絞り込む作業を今のうちに進めておくとよい。委託先の制作会社やパートナー企業に編集権限を付与している場合は、契約終了後に権限が残っていないかも定期的に確認する必要がある。機密情報を扱うAIツールを選ぶ基準としては機密情報を守るAIツールの選び方 企業がチェックすべき5つの観点も参考になる。

想定される影響

今回の欠陥はすでに修正されており、Googleは顧客への実害は確認されていないとしている。ただし、同様の権限設計の甘さは他のAIチャットボット基盤にも潜んでいる可能性があり、自社が使う基盤について個別に確認しておく価値はある。最新の対応状況や技術的な詳細は、Google CloudおよびVaronisの公式発表で確認してほしい。

Varonisが報告してから修正完了まで半年以上かかっている点も見逃せない。初期の修正が施されたのが4月、完全な対応が完了したのが6月とされており、深刻な脆弱性であっても対応には相応の時間がかかることが分かる。AIチャットボットを提供するベンダーを選ぶ際は、過去に見つかった脆弱性に対してどの程度の速さで対応してきたかという実績も、信頼性を判断する材料の一つになる。

出典

• Rogue Agent Flaw Could Have Let Attackers Hijack Google Dialogflow CX Chatbots — The Hacker News
• Rogue Agent: How a Single Code Block Could Hijack Your AI Conversations in Google’s DialogFlow — Varonis