ChatMate: Wie ein Dokument zur Flucht aus Microsoft 365 Copilot führte
Ori Lahav und Dan Avraham von Rubrik Zero Labs präsentierten ChatMate auf der Black Hat USA 2026 als ersten dokumentierten Ausbruch aus der Microsoft 365 Copilot Sandbox [6][7]. Die Angriffskette konnte laut den Forschern mit einem einzigen manipulierten Dokument beginnen und ohne weitere Interaktion bis zu interakt...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Ori Lahav und Dan Avraham von Rubrik Zero Labs präsentierten ChatMate auf der Black Hat USA 2026 als ersten dokumentierten Ausbruch aus der Microsoft 365 Copilot Sandbox [6][7].
Die Angriffskette konnte laut den Forschern mit einem einzigen manipulierten Dokument beginnen und ohne weitere Interaktion bis zu interaktivem Remote Prompt Execution führen [6][7].
Die zugrunde liegende Schwachstelle wurde als CVE 2026 32193 geführt, mit einem CVSS Wert von 8,8 bewertet und mit 48.000 US Dollar von Microsoft honoriert [7][14].
Weitere Black Hat Funde zeigen, dass auch agentische Browser, KI Agenten und öffentliche Skill Verzeichnisse zu neuen Angriffszielen werden [4][28][29].
What novel exploit chain did Rubrik Zero Labs researchers present at Black Hat USA 2026 regarding Microsoft Copilot, how did the attack workAn AI-generated illustration representing the ChatMate exploit chain that targets Microsoft 365 Copilot. The attack begins with a single malicious document and culminates in a full sandbox escape.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What novel exploit chain did Rubrik Zero Labs researchers present at Black Hat USA 2026 regarding Microsoft Copilot, how did the attack work. Article summary: Here are the key findings based on reports from Black Hat USA 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Ein Dokument, ein weitreichender Angriff
Ein manipuliertes Word-Dokument genügte in der Demonstration von Rubrik Zero Labs, um Microsoft 365 Copilot auf eine gefährliche Weise zu beeinflussen. Auf der Black Hat USA 2026 stellten die Forscher Ori Lahav und Dan Avraham die Angriffskette „ChatMate“ vor – nach ihrer Darstellung den ersten dokumentierten Ausbruch aus der Sandbox von Microsoft Copilot .
Dabei prägten sie zugleich eine neue Kategorie von KI-Sicherheitslücken: Remote Prompt Execution (RPE). Gemeint ist nicht nur, dass ein Angreifer die Antwort eines Assistenten manipuliert. Nach erfolgreicher Verkettung mehrerer Schwachstellen kann er vielmehr dauerhaft und interaktiv Befehle beziehungsweise Prompts in der Sitzung des Opfers ausführen .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „ChatMate: Wie ein Dokument zur Flucht aus Microsoft 365 Copilot führte“?
Ori Lahav und Dan Avraham von Rubrik Zero Labs präsentierten ChatMate auf der Black Hat USA 2026 als ersten dokumentierten Ausbruch aus der Microsoft 365 Copilot Sandbox [6][7].
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Ori Lahav und Dan Avraham von Rubrik Zero Labs präsentierten ChatMate auf der Black Hat USA 2026 als ersten dokumentierten Ausbruch aus der Microsoft 365 Copilot Sandbox [6][7]. Die Angriffskette konnte laut den Forschern mit einem einzigen manipulierten Dokument beginnen und ohne weitere Interaktion bis zu interaktivem Remote Prompt Execution führen [6][7].
Was soll ich als nächstes in der Praxis tun?
Die zugrunde liegende Schwachstelle wurde als CVE 2026 32193 geführt, mit einem CVSS Wert von 8,8 bewertet und mit 48.000 US Dollar von Microsoft honoriert [7][14].
ChatMate: Wie ein Dokument zur Flucht aus Microsoft 365 Copilot führte
Ori Lahav und Dan Avraham von Rubrik Zero Labs präsentierten ChatMate auf der Black Hat USA 2026 als ersten dokumentierten Ausbruch aus der Microsoft 365 Copilot Sandbox [6][7]. Die Angriffskette konnte laut den Forschern mit einem einzigen manipulierten Dokument beginnen und ohne weitere Interaktion bis zu interakt...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Ori Lahav und Dan Avraham von Rubrik Zero Labs präsentierten ChatMate auf der Black Hat USA 2026 als ersten dokumentierten Ausbruch aus der Microsoft 365 Copilot Sandbox [6][7].
Die Angriffskette konnte laut den Forschern mit einem einzigen manipulierten Dokument beginnen und ohne weitere Interaktion bis zu interaktivem Remote Prompt Execution führen [6][7].
Die zugrunde liegende Schwachstelle wurde als CVE 2026 32193 geführt, mit einem CVSS Wert von 8,8 bewertet und mit 48.000 US Dollar von Microsoft honoriert [7][14].
Weitere Black Hat Funde zeigen, dass auch agentische Browser, KI Agenten und öffentliche Skill Verzeichnisse zu neuen Angriffszielen werden [4][28][29].
What novel exploit chain did Rubrik Zero Labs researchers present at Black Hat USA 2026 regarding Microsoft Copilot, how did the attack workAn AI-generated illustration representing the ChatMate exploit chain that targets Microsoft 365 Copilot. The attack begins with a single malicious document and culminates in a full sandbox escape.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What novel exploit chain did Rubrik Zero Labs researchers present at Black Hat USA 2026 regarding Microsoft Copilot, how did the attack work. Article summary: Here are the key findings based on reports from Black Hat USA 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Ein Dokument, ein weitreichender Angriff
Ein manipuliertes Word-Dokument genügte in der Demonstration von Rubrik Zero Labs, um Microsoft 365 Copilot auf eine gefährliche Weise zu beeinflussen. Auf der Black Hat USA 2026 stellten die Forscher Ori Lahav und Dan Avraham die Angriffskette „ChatMate“ vor – nach ihrer Darstellung den ersten dokumentierten Ausbruch aus der Sandbox von Microsoft Copilot .
Dabei prägten sie zugleich eine neue Kategorie von KI-Sicherheitslücken: Remote Prompt Execution (RPE). Gemeint ist nicht nur, dass ein Angreifer die Antwort eines Assistenten manipuliert. Nach erfolgreicher Verkettung mehrerer Schwachstellen kann er vielmehr dauerhaft und interaktiv Befehle beziehungsweise Prompts in der Sitzung des Opfers ausführen .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „ChatMate: Wie ein Dokument zur Flucht aus Microsoft 365 Copilot führte“?
Ori Lahav und Dan Avraham von Rubrik Zero Labs präsentierten ChatMate auf der Black Hat USA 2026 als ersten dokumentierten Ausbruch aus der Microsoft 365 Copilot Sandbox [6][7].
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Ori Lahav und Dan Avraham von Rubrik Zero Labs präsentierten ChatMate auf der Black Hat USA 2026 als ersten dokumentierten Ausbruch aus der Microsoft 365 Copilot Sandbox [6][7]. Die Angriffskette konnte laut den Forschern mit einem einzigen manipulierten Dokument beginnen und ohne weitere Interaktion bis zu interaktivem Remote Prompt Execution führen [6][7].
Was soll ich als nächstes in der Praxis tun?
Die zugrunde liegende Schwachstelle wurde als CVE 2026 32193 geführt, mit einem CVSS Wert von 8,8 bewertet und mit 48.000 US Dollar von Microsoft honoriert [7][14].
Die Forscher beschrieben einen Angriff in fünf Stufen. Die technische Demonstration wird hier bewusst auf hoher Ebene zusammengefasst:
Prompt-Injection: Ein Mitarbeiter lädt ein Dokument hoch oder bittet Copilot, eine Word-Datei zu analysieren. In der Datei befinden sich versteckte, schädliche Anweisungen .
Persistenz in der Sandbox: Diese Anweisungen überstehen nach Darstellung der Forscher die Filter- und Bereinigungsmechanismen des Dienstes. Dadurch kann sich der Angreifer in der KI-Sandbox festsetzen .
Ausbruch aus der Sandbox: Anschließend verlässt der Exploit die isolierte Container-Umgebung – der erste öffentlich dokumentierte Ausbruch dieser Art bei Copilot . Berichte ordnen den verwendeten Pfadüberlauffehler Azure Container Apps Dynamic Sessions beziehungsweise Azure Kubernetes Service zu .
Seitliche Bewegung: Vom betroffenen Host aus kann sich der Angreifer durch Teile der Azure-Backend-Infrastruktur bewegen .
Remote Prompt Execution: Am Ende steht ein dauerhafter, bidirektionaler und interaktiver Zugriff auf die Copilot-Sitzung beziehungsweise das zugrunde liegende System. Das ermöglicht laut Rubrik die Ausführung beliebiger Aktionen aus der Ferne .
Joe Hladik, Leiter von Rubrik Zero Labs, beschrieb das Ergebnis als „interaktiven Zugriff auf KI-Assistenten“ und als Möglichkeit, „beliebigen Code auf dem Rechner eines Opfers auszuführen“ .
Ori Lahav fasste die technische Kette auf LinkedIn als Folge von Prompt-Injection, Rechteausweitung, Pfadüberlauf, .toml-Injection und einem LD_PRELOAD-Exploit zusammen .
CVE, Schweregrad und Prämie
CVE-2026-32193: Die zugrunde liegende Schwachstelle wurde als Pfadüberlaufproblem in Azure Kubernetes Service bezeichnet .
CVSS 8,8: Damit fällt die Lücke in die Kategorie „hoch“ .
48.000 US-Dollar Bug-Bounty: Diese Summe zahlte Microsoft für den Bericht; Lahav bestätigte sie öffentlich .
Rubrik meldete die Schwachstelle im Februar 2026 verantwortungsvoll an Microsoft. Nach den vorliegenden Berichten war die konkrete Lücke bis Mitte März serverseitig behoben . Andere Angaben verweisen auf die Veröffentlichung der entsprechenden AKS-Korrektur im Sicherheitsupdate vom Juni 2026 . Für Kunden von Microsoft 365 Copilot war jedenfalls kein eigener neuer Client-Patch erforderlich: Die Korrektur erfolgte auf der Serverseite .
Wichtig ist die Einschränkung: Die konkrete Schwachstelle gilt als behoben. Die grundsätzliche Angriffsidee – der Ausbruch aus einer KI-Sandbox mit anschließendem Zugriff auf Backend-Ressourcen – könnte laut Rubrik jedoch auch für andere Copiloten relevant sein .
ChatMate war nicht der einzige KI-Sicherheitsfund der Konferenz
Die Black Hat USA 2026 machte deutlich, dass die Angriffsfläche nicht auf einen einzelnen Assistenten beschränkt ist.
„PleaseFix“: Angriffe ohne Klick
Zenity Labs demonstrierte unter dem Namen „PleaseFix“ Zero-Click-Angriffsketten für Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas und Copilot Edge. Die Szenarien reichten von unbemerktem Daten- und Diebstahl von Zugangsdaten bis zur Kontoübernahme und Fernsteuerung eines Geräts . Versteckte Anweisungen konnten unter anderem in E-Mails, Kalendereinladungen oder Webseiten platziert werden .
„AgentForger“: Ein gefälschter Mitarbeiter im ChatGPT-Workspace
Mit „AgentForger“ zeigte Zenity außerdem eine kritische Schwachstelle in OpenAI ChatGPT Workspace Agents. Ein einziger manipulierte Link konnte demnach einen von Angreifern kontrollierten KI-Agenten im Konto eines Mitarbeiters anlegen, autorisieren und starten. Der Agent nutzte dabei die Identität, Zugangsdaten und verbundenen Anwendungen des Opfers .
Manipulierte KI-Skills als Lieferkettenrisiko
Eine weitere Kampagne zielte auf skills.sh, ein öffentliches Verzeichnis für Erweiterungen und sogenannte Skills von KI-Agenten. Angreifer stellten täuschend ähnliche, typosquattete Versionen beliebter Skills bereit. Eine betroffene Skill-Familie kam laut Zenity auf mehr als 1,7 Millionen kumulierte Installationen – eine Zahl, die Downloads und nicht unbedingt einzelne Nutzer bezeichnet . Die manipulierten Komponenten konnten anschließend Zugangsdaten stehlen.
Offene KI-Backends als kostenlose Angriffsplattform
In Honeypots beobachtete Zenity zudem Angreifer, die ungeschützte Ollama- und LiteLLM-Instanzen übernahmen. Sie nutzten die fremde KI-Infrastruktur, um autonome Penetrationstests und weitere offensive Werkzeuge gegen Dritte auszuführen .
Was Unternehmen daraus lernen müssen
Erstens: Eine Sandbox ist kein uneinnehmbarer Schutzwall. Der ChatMate-Fund macht den Ausbruch aus einer isolierten KI-Umgebung zu einem praktisch demonstrierten Risiko – vor allem dort, wo Assistenten Dokumente verarbeiten .
Zweitens: Ein Dokument-Upload kann als Einstiegspunkt genügen. Dafür braucht es in dem beschriebenen Szenario weder einen zusätzlichen Phishing-Klick noch Makros oder eine weitere bewusste Handlung des Mitarbeiters . Sicherheitskontrollen für E-Mail- und Dateiverarbeitung müssen deshalb auch berücksichtigen, dass KI-Assistenten Inhalte nicht nur lesen, sondern daraus Aktionen ableiten können.
Drittens: Prompt-Injection ist nicht allein ein Problem von Datenabfluss oder falschen Antworten. In einer verketteten Attacke kann sie der erste Schritt zu einer vollständigen Kompromittierung des Hosts werden . Unternehmen sollten daher neben Prävention auch „agentische Resilienz“ aufbauen: Aktionen müssen nachvollziehbar, begrenzbar, erkennbar und im Idealfall rückgängig zu machen sein .
Viertens: Die Lieferkette für KI-Agenten entwickelt sich zu einem eigenen Sicherheitsbereich. Öffentliche Skill-Verzeichnisse erinnern funktional an App-Stores – einschließlich des Problems, dass Nutzer Erweiterungen oft aufgrund von Namen, Bewertungen oder Installationszahlen vertrauen .
Schließlich fehlt vielen Organisationen noch der Überblick. Rubrik Zero Labs zufolge verfügen nur 23 Prozent der Unternehmen über vollständige Transparenz hinsichtlich ihrer KI-Agenten . Ohne Inventar, Protokollierung und klare Berechtigungsgrenzen dürfte es entsprechend schwer sein, einen kompromittierten Assistenten oder Agenten rechtzeitig zu erkennen.
letsdatascience.com
Rubrik Researchers Detail Microsoft Copilot Sandbox Escape
Die Forscher beschrieben einen Angriff in fünf Stufen. Die technische Demonstration wird hier bewusst auf hoher Ebene zusammengefasst:
Prompt-Injection: Ein Mitarbeiter lädt ein Dokument hoch oder bittet Copilot, eine Word-Datei zu analysieren. In der Datei befinden sich versteckte, schädliche Anweisungen .
Persistenz in der Sandbox: Diese Anweisungen überstehen nach Darstellung der Forscher die Filter- und Bereinigungsmechanismen des Dienstes. Dadurch kann sich der Angreifer in der KI-Sandbox festsetzen .
Ausbruch aus der Sandbox: Anschließend verlässt der Exploit die isolierte Container-Umgebung – der erste öffentlich dokumentierte Ausbruch dieser Art bei Copilot . Berichte ordnen den verwendeten Pfadüberlauffehler Azure Container Apps Dynamic Sessions beziehungsweise Azure Kubernetes Service zu .
Seitliche Bewegung: Vom betroffenen Host aus kann sich der Angreifer durch Teile der Azure-Backend-Infrastruktur bewegen .
Remote Prompt Execution: Am Ende steht ein dauerhafter, bidirektionaler und interaktiver Zugriff auf die Copilot-Sitzung beziehungsweise das zugrunde liegende System. Das ermöglicht laut Rubrik die Ausführung beliebiger Aktionen aus der Ferne .
Joe Hladik, Leiter von Rubrik Zero Labs, beschrieb das Ergebnis als „interaktiven Zugriff auf KI-Assistenten“ und als Möglichkeit, „beliebigen Code auf dem Rechner eines Opfers auszuführen“ .
Ori Lahav fasste die technische Kette auf LinkedIn als Folge von Prompt-Injection, Rechteausweitung, Pfadüberlauf, .toml-Injection und einem LD_PRELOAD-Exploit zusammen .
CVE, Schweregrad und Prämie
CVE-2026-32193: Die zugrunde liegende Schwachstelle wurde als Pfadüberlaufproblem in Azure Kubernetes Service bezeichnet .
CVSS 8,8: Damit fällt die Lücke in die Kategorie „hoch“ .
48.000 US-Dollar Bug-Bounty: Diese Summe zahlte Microsoft für den Bericht; Lahav bestätigte sie öffentlich .
Rubrik meldete die Schwachstelle im Februar 2026 verantwortungsvoll an Microsoft. Nach den vorliegenden Berichten war die konkrete Lücke bis Mitte März serverseitig behoben . Andere Angaben verweisen auf die Veröffentlichung der entsprechenden AKS-Korrektur im Sicherheitsupdate vom Juni 2026 . Für Kunden von Microsoft 365 Copilot war jedenfalls kein eigener neuer Client-Patch erforderlich: Die Korrektur erfolgte auf der Serverseite .
Wichtig ist die Einschränkung: Die konkrete Schwachstelle gilt als behoben. Die grundsätzliche Angriffsidee – der Ausbruch aus einer KI-Sandbox mit anschließendem Zugriff auf Backend-Ressourcen – könnte laut Rubrik jedoch auch für andere Copiloten relevant sein .
ChatMate war nicht der einzige KI-Sicherheitsfund der Konferenz
Die Black Hat USA 2026 machte deutlich, dass die Angriffsfläche nicht auf einen einzelnen Assistenten beschränkt ist.
„PleaseFix“: Angriffe ohne Klick
Zenity Labs demonstrierte unter dem Namen „PleaseFix“ Zero-Click-Angriffsketten für Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas und Copilot Edge. Die Szenarien reichten von unbemerktem Daten- und Diebstahl von Zugangsdaten bis zur Kontoübernahme und Fernsteuerung eines Geräts . Versteckte Anweisungen konnten unter anderem in E-Mails, Kalendereinladungen oder Webseiten platziert werden .
„AgentForger“: Ein gefälschter Mitarbeiter im ChatGPT-Workspace
Mit „AgentForger“ zeigte Zenity außerdem eine kritische Schwachstelle in OpenAI ChatGPT Workspace Agents. Ein einziger manipulierte Link konnte demnach einen von Angreifern kontrollierten KI-Agenten im Konto eines Mitarbeiters anlegen, autorisieren und starten. Der Agent nutzte dabei die Identität, Zugangsdaten und verbundenen Anwendungen des Opfers .
Manipulierte KI-Skills als Lieferkettenrisiko
Eine weitere Kampagne zielte auf skills.sh, ein öffentliches Verzeichnis für Erweiterungen und sogenannte Skills von KI-Agenten. Angreifer stellten täuschend ähnliche, typosquattete Versionen beliebter Skills bereit. Eine betroffene Skill-Familie kam laut Zenity auf mehr als 1,7 Millionen kumulierte Installationen – eine Zahl, die Downloads und nicht unbedingt einzelne Nutzer bezeichnet . Die manipulierten Komponenten konnten anschließend Zugangsdaten stehlen.
Offene KI-Backends als kostenlose Angriffsplattform
In Honeypots beobachtete Zenity zudem Angreifer, die ungeschützte Ollama- und LiteLLM-Instanzen übernahmen. Sie nutzten die fremde KI-Infrastruktur, um autonome Penetrationstests und weitere offensive Werkzeuge gegen Dritte auszuführen .
Was Unternehmen daraus lernen müssen
Erstens: Eine Sandbox ist kein uneinnehmbarer Schutzwall. Der ChatMate-Fund macht den Ausbruch aus einer isolierten KI-Umgebung zu einem praktisch demonstrierten Risiko – vor allem dort, wo Assistenten Dokumente verarbeiten .
Zweitens: Ein Dokument-Upload kann als Einstiegspunkt genügen. Dafür braucht es in dem beschriebenen Szenario weder einen zusätzlichen Phishing-Klick noch Makros oder eine weitere bewusste Handlung des Mitarbeiters . Sicherheitskontrollen für E-Mail- und Dateiverarbeitung müssen deshalb auch berücksichtigen, dass KI-Assistenten Inhalte nicht nur lesen, sondern daraus Aktionen ableiten können.
Drittens: Prompt-Injection ist nicht allein ein Problem von Datenabfluss oder falschen Antworten. In einer verketteten Attacke kann sie der erste Schritt zu einer vollständigen Kompromittierung des Hosts werden . Unternehmen sollten daher neben Prävention auch „agentische Resilienz“ aufbauen: Aktionen müssen nachvollziehbar, begrenzbar, erkennbar und im Idealfall rückgängig zu machen sein .
Viertens: Die Lieferkette für KI-Agenten entwickelt sich zu einem eigenen Sicherheitsbereich. Öffentliche Skill-Verzeichnisse erinnern funktional an App-Stores – einschließlich des Problems, dass Nutzer Erweiterungen oft aufgrund von Namen, Bewertungen oder Installationszahlen vertrauen .
Schließlich fehlt vielen Organisationen noch der Überblick. Rubrik Zero Labs zufolge verfügen nur 23 Prozent der Unternehmen über vollständige Transparenz hinsichtlich ihrer KI-Agenten . Ohne Inventar, Protokollierung und klare Berechtigungsgrenzen dürfte es entsprechend schwer sein, einen kompromittierten Assistenten oder Agenten rechtzeitig zu erkennen.
letsdatascience.com
Rubrik Researchers Detail Microsoft Copilot Sandbox Escape
