Näin ChatMate-hyökkäys eteni

Hyökkäysketju muutti yhden saastuneen tiedoston lataamisen laajaksi käyttöoikeuksien ja ympäristön vaarantumiseksi ilman lisätoimia käyttäjältä .

1. Kehotusinjektio: Työntekijä latasi Copilotiin Word-tiedoston tai pyysi avustajaa analysoimaan sen. Tiedosto sisälsi piilotettuja, haitallisia ohjeita .
2. Pysyvyys hiekkalaatikossa: Haitalliset ohjeet läpäisivät palvelun syötteiden puhdistuksen ja vaikuttivat Copilotin toimintaan sen tekoälylle tarkoitetussa hiekkalaatikossa .
3. Hiekkalaatikon ohitus: Seuraavassa vaiheessa hyökkääjä pääsi ulos eristetystä konttiympäristöstä. Raporttien mukaan ketjussa hyödynnettiin Azure Container Appsin dynamic sessions -ominaisuuden tai Azure Kubernetes Servicen polun läpikäyntiin liittyvää haavoittuvuutta .
4. Sivuttaisliike: Päästyään isäntäympäristöön hyökkääjä pystyi etenemään Azure-taustajärjestelmän muissa osissa .
5. Remote Prompt Execution: Lopputuloksena tutkijat saavuttivat pysyvän, kaksisuuntaisen ja vuorovaikutteisen yhteyden uhrin Copilot-istuntoon. Käytännössä tämä mahdollisti komentojen ja koodin ajamisen etänä .

Rubrik Zero Labsin johtaja Joe Hladik kuvasi vaikutusta vuorovaikutteiseksi pääsyksi tekoälyavustajiin ja mahdollisuudeksi suorittaa mielivaltaista koodia uhrin koneella . Lahavin teknisen kuvauksen mukaan ketju sisälsi kehotusinjektion, käyttöoikeuksien korotuksen, polun läpikäynnin, .toml-tiedoston injektion ja lopuksi LD_PRELOAD-hyödynnyksen .

CVE-tunnus, vakavuus ja palkkio

ChatMateen liittyvä keskeinen haavoittuvuus oli CVE-2026-32193, Azure Kubernetes Servicen polun läpikäyntiin liittyvä ongelma .

• CVSS-pistemäärä: 8,8, eli korkea vakavuusluokka .
• Microsoftin maksama bug bounty -palkkio: 48 000 Yhdysvaltain dollaria .
• Korjaus: Microsoft korjasi haavoittuvuuden Rubrikin helmikuussa tekemän vastuullisen ilmoituksen jälkeen. Korjauksen kerrottiin valmistuneen maaliskuun puoliväliin mennessä .

Microsoft 365 Copilotin asiakkaiden ei tarvinnut asentaa erillistä päivitystä itse, koska korjaus tehtiin palvelinpuolella . Vaikka yksittäinen haavoittuvuus on korjattu, tutkijat varoittavat, että vastaava hiekkalaatikosta Azure-taustajärjestelmään etenevä tekniikka voi soveltua myös muihin tekoälyavustajiin .

Black Hatissa esiteltiin muitakin tekoälyuhkia

ChatMate oli osa laajempaa Black Hat USA 2026 -tapahtumassa esiteltyä tutkimusaaltoa. Zenity Labs toi esiin useita hyökkäyksiä, joissa tekoälyagenttien laajat oikeudet ja käyttäjän valmiiksi tunnistettu istunto muodostivat vaarallisen yhdistelmän.

• PleaseFix-nollaklikkausketjut: Hyökkäysketjuja esiteltiin Claude in Chromen, Gemini in Chromen, Perplexity Cometin, ChatGPT Atlaksen ja Copilot Edgen yhteydessä. Niiden avulla tutkijat osoittivat reittejä tietojen ja tunnistetietojen varkauteen, tilien kaappaukseen ja laitteen etähallintaan .
• AgentForger: Yksi haitallinen linkki saattoi Zenity Labsin mukaan kaapata OpenAI:n ChatGPT Agent Builderin ja luoda uhrin työtilaan hyökkääjän hallitseman tekoälyagentin. Agentti olisi voinut käyttää työntekijän tunnistetietoja ja yhdistettyjen sovellusten oikeuksia .
• Saastutetut tekoälytaidot: Vercelin skills.sh-rekisterissä levitettiin kirjoitusasua jäljitteleviä eli typosquatting-tekniikkaa hyödyntäneitä tekoälyagenttien lisäosia. Yksi haitallinen taitoperhe keräsi yli 1,7 miljoonaa asennusta, vaikka luku kuvaa yhteenlaskettuja latauksia eikä yksittäisten käyttäjien määrää .
• Julkiset tekoälytaustajärjestelmät hyökkäysten välineinä: Zenity Labsin hunypotit havaitsivat hyökkääjien kaappaavan suojaamattomia Ollama- ja LiteLLM-instansseja sekä käyttävän niitä autonomisten tietoturvatyökalujen ajamiseen kolmansia osapuolia vastaan .

Mitä tämä merkitsee yrityksille?

ChatMate muuttaa keskustelun tekoälyavustajien riskeistä konkreettisemmaksi. Hiekkalaatikon ohittaminen ei ole enää vain teoreettinen uhkakuva, vaan tutkijoiden esittelemä hyökkäystapa . Yritys, joka antaa Copilotin käsitellä työntekijöiden tai ulkopuolisten lähettämiä dokumentteja, ottaa käyttöön myös uudenlaisen hyökkäyspinnan.

Erityisen merkittävää on, että alkuperäinen hyökkäysvektori oli yksi dokumenttilataus. Hyökkäys ei edellyttänyt kalasteluviestin linkin napsauttamista, makrojen käyttöönottoa tai muuta ylimääräistä käyttäjän toimintaa . Tämän vuoksi sähköposti- ja tiedostoturvan on käsiteltävä tekoälylle toimitettua sisältöä mahdollisena suorituskanavana, ei pelkkänä tekstinä.

RPE osoittaa myös, ettei kehotusinjektio ole vain tietovuotoriski. Kun siihen yhdistetään käyttöoikeuksien väärinkäyttö ja infrastruktuurin haavoittuvuuksia, seurauksena voi olla koko isäntäympäristön vaarantuminen . Yritysten kannattaa siksi rakentaa niin sanottua agenttien toimintakykyä ja palautumiskykyä: valvontaa, jolla haitalliset toimet havaitaan, pysäytetään ja tarvittaessa perutaan.

Sama pätee tekoälyagenttien ohjelmistotoimitusketjuun. Yli 1,7 miljoonan yhteenlasketun asennuksen kampanja osoittaa, että agenttien taitorekisterit alkavat muistuttaa sovelluskauppoja – ja niihin liittyy samanlaisia luottamus-, aitous- ja varmennushaasteita .

Rubrik Zero Labsin mukaan vain 23 prosentilla organisaatioista on täysi näkyvyys omiin tekoälyagentteihinsa . Jos yritys ei tiedä, mitä agentteja ympäristössä toimii, mitä oikeuksia niillä on ja mitä niiden kautta tapahtuu, myös ChatMaten kaltaisen hyökkäyksen havaitseminen voi olla vaikeaa.

Näin ChatMate-hyökkäys eteni

Hyökkäysketju muutti yhden saastuneen tiedoston lataamisen laajaksi käyttöoikeuksien ja ympäristön vaarantumiseksi ilman lisätoimia käyttäjältä .

1. Kehotusinjektio: Työntekijä latasi Copilotiin Word-tiedoston tai pyysi avustajaa analysoimaan sen. Tiedosto sisälsi piilotettuja, haitallisia ohjeita .
2. Pysyvyys hiekkalaatikossa: Haitalliset ohjeet läpäisivät palvelun syötteiden puhdistuksen ja vaikuttivat Copilotin toimintaan sen tekoälylle tarkoitetussa hiekkalaatikossa .
3. Hiekkalaatikon ohitus: Seuraavassa vaiheessa hyökkääjä pääsi ulos eristetystä konttiympäristöstä. Raporttien mukaan ketjussa hyödynnettiin Azure Container Appsin dynamic sessions -ominaisuuden tai Azure Kubernetes Servicen polun läpikäyntiin liittyvää haavoittuvuutta .
4. Sivuttaisliike: Päästyään isäntäympäristöön hyökkääjä pystyi etenemään Azure-taustajärjestelmän muissa osissa .
5. Remote Prompt Execution: Lopputuloksena tutkijat saavuttivat pysyvän, kaksisuuntaisen ja vuorovaikutteisen yhteyden uhrin Copilot-istuntoon. Käytännössä tämä mahdollisti komentojen ja koodin ajamisen etänä .

Rubrik Zero Labsin johtaja Joe Hladik kuvasi vaikutusta vuorovaikutteiseksi pääsyksi tekoälyavustajiin ja mahdollisuudeksi suorittaa mielivaltaista koodia uhrin koneella . Lahavin teknisen kuvauksen mukaan ketju sisälsi kehotusinjektion, käyttöoikeuksien korotuksen, polun läpikäynnin, .toml-tiedoston injektion ja lopuksi LD_PRELOAD-hyödynnyksen .

CVE-tunnus, vakavuus ja palkkio

ChatMateen liittyvä keskeinen haavoittuvuus oli CVE-2026-32193, Azure Kubernetes Servicen polun läpikäyntiin liittyvä ongelma .

• CVSS-pistemäärä: 8,8, eli korkea vakavuusluokka .
• Microsoftin maksama bug bounty -palkkio: 48 000 Yhdysvaltain dollaria .
• Korjaus: Microsoft korjasi haavoittuvuuden Rubrikin helmikuussa tekemän vastuullisen ilmoituksen jälkeen. Korjauksen kerrottiin valmistuneen maaliskuun puoliväliin mennessä .

Microsoft 365 Copilotin asiakkaiden ei tarvinnut asentaa erillistä päivitystä itse, koska korjaus tehtiin palvelinpuolella . Vaikka yksittäinen haavoittuvuus on korjattu, tutkijat varoittavat, että vastaava hiekkalaatikosta Azure-taustajärjestelmään etenevä tekniikka voi soveltua myös muihin tekoälyavustajiin .

Black Hatissa esiteltiin muitakin tekoälyuhkia

ChatMate oli osa laajempaa Black Hat USA 2026 -tapahtumassa esiteltyä tutkimusaaltoa. Zenity Labs toi esiin useita hyökkäyksiä, joissa tekoälyagenttien laajat oikeudet ja käyttäjän valmiiksi tunnistettu istunto muodostivat vaarallisen yhdistelmän.

• PleaseFix-nollaklikkausketjut: Hyökkäysketjuja esiteltiin Claude in Chromen, Gemini in Chromen, Perplexity Cometin, ChatGPT Atlaksen ja Copilot Edgen yhteydessä. Niiden avulla tutkijat osoittivat reittejä tietojen ja tunnistetietojen varkauteen, tilien kaappaukseen ja laitteen etähallintaan .
• AgentForger: Yksi haitallinen linkki saattoi Zenity Labsin mukaan kaapata OpenAI:n ChatGPT Agent Builderin ja luoda uhrin työtilaan hyökkääjän hallitseman tekoälyagentin. Agentti olisi voinut käyttää työntekijän tunnistetietoja ja yhdistettyjen sovellusten oikeuksia .
• Saastutetut tekoälytaidot: Vercelin skills.sh-rekisterissä levitettiin kirjoitusasua jäljitteleviä eli typosquatting-tekniikkaa hyödyntäneitä tekoälyagenttien lisäosia. Yksi haitallinen taitoperhe keräsi yli 1,7 miljoonaa asennusta, vaikka luku kuvaa yhteenlaskettuja latauksia eikä yksittäisten käyttäjien määrää .
• Julkiset tekoälytaustajärjestelmät hyökkäysten välineinä: Zenity Labsin hunypotit havaitsivat hyökkääjien kaappaavan suojaamattomia Ollama- ja LiteLLM-instansseja sekä käyttävän niitä autonomisten tietoturvatyökalujen ajamiseen kolmansia osapuolia vastaan .

Mitä tämä merkitsee yrityksille?

ChatMate muuttaa keskustelun tekoälyavustajien riskeistä konkreettisemmaksi. Hiekkalaatikon ohittaminen ei ole enää vain teoreettinen uhkakuva, vaan tutkijoiden esittelemä hyökkäystapa . Yritys, joka antaa Copilotin käsitellä työntekijöiden tai ulkopuolisten lähettämiä dokumentteja, ottaa käyttöön myös uudenlaisen hyökkäyspinnan.

Erityisen merkittävää on, että alkuperäinen hyökkäysvektori oli yksi dokumenttilataus. Hyökkäys ei edellyttänyt kalasteluviestin linkin napsauttamista, makrojen käyttöönottoa tai muuta ylimääräistä käyttäjän toimintaa . Tämän vuoksi sähköposti- ja tiedostoturvan on käsiteltävä tekoälylle toimitettua sisältöä mahdollisena suorituskanavana, ei pelkkänä tekstinä.

RPE osoittaa myös, ettei kehotusinjektio ole vain tietovuotoriski. Kun siihen yhdistetään käyttöoikeuksien väärinkäyttö ja infrastruktuurin haavoittuvuuksia, seurauksena voi olla koko isäntäympäristön vaarantuminen . Yritysten kannattaa siksi rakentaa niin sanottua agenttien toimintakykyä ja palautumiskykyä: valvontaa, jolla haitalliset toimet havaitaan, pysäytetään ja tarvittaessa perutaan.

Sama pätee tekoälyagenttien ohjelmistotoimitusketjuun. Yli 1,7 miljoonan yhteenlasketun asennuksen kampanja osoittaa, että agenttien taitorekisterit alkavat muistuttaa sovelluskauppoja – ja niihin liittyy samanlaisia luottamus-, aitous- ja varmennushaasteita .

Rubrik Zero Labsin mukaan vain 23 prosentilla organisaatioista on täysi näkyvyys omiin tekoälyagentteihinsa . Jos yritys ei tiedä, mitä agentteja ympäristössä toimii, mitä oikeuksia niillä on ja mitä niiden kautta tapahtuu, myös ChatMaten kaltaisen hyökkäyksen havaitseminen voi olla vaikeaa.