ChatMate: el primer escape documentado del sandbox de Microsoft 365 Copilot
Ori Lahav y Dan Avraham, de Rubrik Zero Labs, presentaron ChatMate en Black Hat USA 2026 como el primer escape documentado del sandbox de Microsoft 365 Copilot [6][7]. La cadena comenzaba con un único documento de Word manipulado y podía avanzar hasta el acceso persistente, bidireccional e interactivo al asistente,...
Publicado porEditado con DeepSeek-V4-FlashImágenes generadas con GPT Image 1.5
Ori Lahav y Dan Avraham, de Rubrik Zero Labs, presentaron ChatMate en Black Hat USA 2026 como el primer escape documentado del sandbox de Microsoft 365 Copilot [6][7].
La cadena comenzaba con un único documento de Word manipulado y podía avanzar hasta el acceso persistente, bidireccional e interactivo al asistente, sin más intervención del usuario [2][3][6][7].
El componente subyacente fue identificado como CVE 2026 32193, con una puntuación CVSS de 8,8 y una recompensa de 48.000 dólares concedida por Microsoft [7][14].
Los hallazgos de Black Hat también expusieron riesgos en navegadores con agentes, registros de habilidades de IA y backends de modelos expuestos.
What novel exploit chain did Rubrik Zero Labs researchers present at Black Hat USA 2026 regarding Microsoft Copilot, how did the attack workAn AI-generated illustration representing the ChatMate exploit chain that targets Microsoft 365 Copilot. The attack begins with a single malicious document and culminates in a full sandbox escape.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What novel exploit chain did Rubrik Zero Labs researchers present at Black Hat USA 2026 regarding Microsoft Copilot, how did the attack work. Article summary: Here are the key findings based on reports from Black Hat USA 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
La idea de que un asistente de IA está aislado en una caja de seguridad —un sandbox— acaba de recibir un golpe importante. En Black Hat USA 2026, los investigadores Ori Lahav y Dan Avraham, de Rubrik Zero Labs, presentaron ChatMate, una cadena de explotación que logró el primer escape documentado del sandbox de Microsoft 365 Copilot .
El trabajo también propone una nueva categoría de vulnerabilidad: Remote Prompt Execution (RPE), o ejecución remota de instrucciones. El concepto va más allá de una inyección de prompt que hace que un modelo responda algo indebido: la cadena permite conservar el control de una sesión de Copilot y utilizarla como vía interactiva hacia el sistema subyacente .
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "ChatMate: el primer escape documentado del sandbox de Microsoft 365 Copilot"?
Ori Lahav y Dan Avraham, de Rubrik Zero Labs, presentaron ChatMate en Black Hat USA 2026 como el primer escape documentado del sandbox de Microsoft 365 Copilot [6][7].
¿Cuáles son los puntos clave a validar primero?
Ori Lahav y Dan Avraham, de Rubrik Zero Labs, presentaron ChatMate en Black Hat USA 2026 como el primer escape documentado del sandbox de Microsoft 365 Copilot [6][7]. La cadena comenzaba con un único documento de Word manipulado y podía avanzar hasta el acceso persistente, bidireccional e interactivo al asistente, sin más intervención del usuario [2][3][6][7].
¿Qué debo hacer a continuación en la práctica?
El componente subyacente fue identificado como CVE 2026 32193, con una puntuación CVSS de 8,8 y una recompensa de 48.000 dólares concedida por Microsoft [7][14].
Según la demostración, el ataque podía comenzar cuando un empleado cargaba un documento de Word malicioso o le pedía a Copilot que lo analizara . No era necesario que el usuario hiciera clic en un enlace adicional ni ejecutara una macro: el contenido procesado por el asistente constituía el punto de entrada .
La cadena se desarrollaba en cinco fases:
Inyección de instrucciones. El documento incluía instrucciones hostiles ocultas que intentaban modificar el comportamiento de Copilot .
Persistencia dentro del sandbox. Las instrucciones inyectadas superaban los controles de saneamiento de entrada y establecían una presencia dentro del entorno aislado del asistente .
Escape del sandbox. La explotación permitía salir del contenedor aislado de Copilot, en lo que los investigadores describieron como el primer caso documentado de este tipo . Los informes vinculan esta fase a un fallo de path traversal —recorrido de rutas— en las sesiones dinámicas de Azure Container Apps o, según otra descripción, en Azure Kubernetes Service (AKS) .
Movimiento lateral. Una vez alcanzado el sistema anfitrión, el atacante podía desplazarse por la infraestructura de backend de Azure .
Ejecución remota de instrucciones. El resultado era un acceso persistente, bidireccional e interactivo a la sesión de Copilot de la víctima. En la práctica, esto permitía ejecutar código de forma remota a través de una cadena de vulnerabilidades .
Ori Lahav resumió los pasos técnicos en LinkedIn como inyección de instrucciones, escalada de privilegios, recorrido de rutas, inyección de archivos .toml y, finalmente, un exploit de LD_PRELOAD. Joe Hladik, responsable de Rubrik Zero Labs, describió el impacto como “acceso interactivo a asistentes de IA” y la capacidad de “ejecutar código arbitrario en la máquina de la víctima” .
CVE-2026-32193, gravedad y recompensa
El fallo de infraestructura identificado en la cadena fue CVE-2026-32193, una vulnerabilidad de recorrido de rutas asociada a Azure Kubernetes Service . Se le asignó una puntuación CVSS de 8,8, considerada de gravedad alta . Rubrik indicó además que Microsoft concedió una recompensa de 48.000 dólares por el hallazgo, una cantidad confirmada públicamente por Lahav .
Rubrik comunicó el problema a Microsoft siguiendo un proceso de divulgación responsable después de descubrirlo en febrero de 2026. La compañía corrigió el fallo antes de que la investigación se hiciera pública; los informes disponibles sitúan la corrección entre mediados de marzo y una actualización de seguridad de junio de 2026 .
Para los clientes de Microsoft 365 Copilot, la corrección no requería instalar un parche nuevo: el arreglo se realizó en el lado del servidor . Eso no elimina, sin embargo, la lección principal de ChatMate: la técnica de escapar del entorno aislado para alcanzar servicios de backend podría tener implicaciones para otros copilotos y canalizaciones de IA, incluso cuando se haya corregido este fallo concreto .
Otros avisos de seguridad de IA presentados en Black Hat
ChatMate no fue un caso aislado. La edición de 2026 de Black Hat reunió varios hallazgos que apuntan a un mismo problema: los agentes de IA combinan instrucciones, identidad, permisos y acceso a herramientas en una sola sesión.
Cadenas “PleaseFix” de Zenity Labs. La firma mostró ataques de interacción cero contra Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas y Copilot Edge. Las cadenas podían facilitar el robo silencioso de datos y credenciales, la toma de control de cuentas y el control remoto de dispositivos .
“AgentForger” en ChatGPT. Un único enlace malicioso podía aprovechar ChatGPT Agent Builder para crear y desplegar silenciosamente un agente controlado por el atacante dentro de la cuenta de la víctima. El agente heredaba las credenciales del empleado y las aplicaciones conectadas a su espacio de trabajo .
Ataque a la cadena de suministro de “skills”. Zenity detectó habilidades de agentes troyanizadas en el registro público skills.sh, operado por Vercel. Los atacantes usaron nombres parecidos a los de herramientas legítimas y una familia de habilidades maliciosas acumuló más de 1,7 millones de instalaciones; la cifra corresponde a descargas agregadas, no a usuarios únicos .
Backends de IA expuestos. Los honeypots de Zenity capturaron a atacantes que secuestraban instancias de Ollama y LiteLLM expuestas y sin autenticación para ejecutar herramientas autónomas de pruebas de penetración contra terceros .
Qué cambia para las empresas
El primer mensaje para los equipos de seguridad es directo: el escape de un sandbox de IA ya no es solo una posibilidad teórica. Cualquier organización que procese documentos suministrados por usuarios mediante un asistente incorpora una superficie de ataque adicional .
También cambia la forma de evaluar los archivos. Un documento aparentemente pasivo puede convertirse en un canal de ejecución cuando un agente lo interpreta y actúa según su contenido. Por eso, los controles tradicionales de correo y archivos deben considerar no solo si un fichero contiene malware convencional, sino también qué instrucciones puede transmitir a un sistema de IA con sesión autenticada .
La categoría Remote Prompt Execution refuerza otra conclusión: la inyección de instrucciones no debe tratarse únicamente como un problema de filtración de datos o respuestas incorrectas. Combinada con escalada de privilegios, recorrido de rutas y fallos de configuración, puede contribuir a una toma de control mucho más amplia .
En consecuencia, las empresas necesitarán una estrategia de resiliencia agéntica: visibilidad de los agentes, límites estrictos para sus permisos, supervisión de las acciones que ejecutan y capacidad para detectar y revertir operaciones destructivas, no solo bloquear ataques conocidos .
La cadena de suministro merece la misma atención. Los más de 1,7 millones de descargas agregadas de habilidades troyanizadas muestran que los registros de complementos de agentes empiezan a parecerse a tiendas de aplicaciones: concentran confianza, código e instrucciones de terceros, pero plantean los mismos retos de verificación y mantenimiento .
El problema es que muchas organizaciones todavía no saben con precisión qué agentes tienen desplegados ni qué pueden hacer. Rubrik Zero Labs afirma que solo el 23 % cuenta con visibilidad completa sobre sus agentes de IA . Sin ese inventario, incluso detectar una intrusión como ChatMate puede resultar difícil después de que el atacante haya heredado la identidad y los permisos de un usuario legítimo.
letsdatascience.com
Rubrik Researchers Detail Microsoft Copilot Sandbox Escape
