ChatMate : comment une simple pièce jointe a permis de contourner le bac à sable de Copilot
Les chercheurs Ori Lahav et Dan Avraham, de Rubrik Zero Labs, ont présenté ChatMate comme la première sortie documentée du bac à sable de Microsoft 365 Copilot [7][6]. La chaîne commence par le dépôt d’un document Word malveillant et peut aboutir à un accès interactif et persistant à la session Copilot, sans action...
Publié parModifié avec DeepSeek-V4-FlashImages générées avec GPT Image 1.5
Les chercheurs Ori Lahav et Dan Avraham, de Rubrik Zero Labs, ont présenté ChatMate comme la première sortie documentée du bac à sable de Microsoft 365 Copilot [7][6].
La chaîne commence par le dépôt d’un document Word malveillant et peut aboutir à un accès interactif et persistant à la session Copilot, sans action supplémentaire de l’utilisateur [6][7].
La vulnérabilité associée, CVE 2026 32193, a reçu un score CVSS de 8,8 et a valu à ses découvreurs une récompense de 48 000 dollars de la part de Microsoft [7][14].
What novel exploit chain did Rubrik Zero Labs researchers present at Black Hat USA 2026 regarding Microsoft Copilot, how did the attack workAn AI-generated illustration representing the ChatMate exploit chain that targets Microsoft 365 Copilot. The attack begins with a single malicious document and culminates in a full sandbox escape.
Prompt IA
Create a landscape editorial hero image for this Studio Global article: What novel exploit chain did Rubrik Zero Labs researchers present at Black Hat USA 2026 regarding Microsoft Copilot, how did the attack work. Article summary: Here are the key findings based on reports from Black Hat USA 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
À Black Hat USA 2026, les chercheurs Ori Lahav et Dan Avraham, de Rubrik Zero Labs, ont présenté une chaîne d’exploitation baptisée « ChatMate ». Selon leur présentation, il s’agit de la première sortie documentée du bac à sable de Microsoft 365 Copilot .
Leur démonstration met également en avant une nouvelle catégorie de vulnérabilité : Remote Prompt Execution (RPE), ou exécution distante de prompts. L’idée est particulièrement préoccupante pour les entreprises : une instruction dissimulée dans un document peut évoluer d’une simple injection de prompt vers une prise de contrôle interactive de l’assistant et de l’environnement qui l’héberge.
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Quelle est la réponse courte à « ChatMate : comment une simple pièce jointe a permis de contourner le bac à sable de Copilot » ?
Les chercheurs Ori Lahav et Dan Avraham, de Rubrik Zero Labs, ont présenté ChatMate comme la première sortie documentée du bac à sable de Microsoft 365 Copilot [7][6].
Quels sont les points clés à valider en premier ?
Les chercheurs Ori Lahav et Dan Avraham, de Rubrik Zero Labs, ont présenté ChatMate comme la première sortie documentée du bac à sable de Microsoft 365 Copilot [7][6]. La chaîne commence par le dépôt d’un document Word malveillant et peut aboutir à un accès interactif et persistant à la session Copilot, sans action supplémentaire de l’utilisateur [6][7].
Que dois-je faire ensuite en pratique ?
La vulnérabilité associée, CVE 2026 32193, a reçu un score CVSS de 8,8 et a valu à ses découvreurs une récompense de 48 000 dollars de la part de Microsoft [7][14].
ChatMate transforme le dépôt d’un seul document piégé en compromission complète de l’hôte, sans interaction supplémentaire de la victime .
Injection de prompt — Un salarié téléverse un document Word contenant des instructions malveillantes dissimulées, ou demande à Microsoft 365 Copilot de l’analyser .
Persistance dans le bac à sable — Les instructions injectées échappent aux mécanismes de filtrage des entrées et s’installent dans l’environnement isolé de l’assistant .
Sortie du bac à sable — L’exploitation permet de quitter le conteneur censé isoler Copilot. Les sources décrivent cette étape comme la première sortie documentée de ce type . Elles évoquent une faille de traversée de chemins dans les sessions dynamiques d’Azure Container Apps ou, selon les rapports, dans Azure Kubernetes Service .
Mouvement latéral — Après avoir atteint l’hôte, l’attaquant se déplace dans l’infrastructure dorsale Azure .
Exécution distante de prompts — L’attaquant obtient un accès interactif, persistant et bidirectionnel à la machine de la victime, ce qui revient en pratique à pouvoir exécuter du code à distance . Joe Hladik, responsable de Rubrik Zero Labs, a décrit le résultat comme un « accès interactif aux assistants IA » donnant aux attaquants « la capacité d’exécuter du code arbitraire sur la machine d’une victime » .
Sur LinkedIn, Ori Lahav a résumé les briques techniques de la chaîne : « injection de prompt, élévation de privilèges, traversée de chemins, injection de fichier .toml, puis exploitation de LD_PRELOAD » .
CVE, niveau de gravité et récompense
CVE-2026-32193 : la faille de traversée de chemins dans Azure Kubernetes Service associée à la sortie du bac à sable .
Score CVSS de 8,8 : une gravité considérée comme élevée .
Récompense de 48 000 dollars versée par Microsoft dans le cadre de son programme de recherche de vulnérabilités . Ori Lahav a confirmé publiquement ce montant sur LinkedIn .
Rubrik a signalé la faille à Microsoft en février 2026 dans le cadre d’une divulgation responsable. Microsoft indique avoir corrigé le problème vers la mi-mars . Les clients de Microsoft 365 Copilot n’avaient pas de correctif à installer eux-mêmes : la correction a été appliquée côté serveur .
Le correctif règle la vulnérabilité identifiée, mais les chercheurs soulignent que la technique générale consistant à sortir du bac à sable d’un copilote pour atteindre son infrastructure cloud pourrait concerner d’autres assistants IA .
D’autres alertes sur la sécurité des agents IA
La présentation de ChatMate s’inscrit dans une série de recherches dévoilées autour de Black Hat USA 2026.
Les chaînes « PleaseFix » de Zenity Labs
Zenity Labs a présenté des chaînes d’exploitation dites zero-click, c’est-à-dire ne nécessitant pas de clic supplémentaire après le déclenchement initial. Elles ciblaient Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas et Copilot Edge. Les scénarios étudiés pouvaient conduire au vol furtif de données et d’identifiants, à la prise de contrôle de comptes ou au contrôle à distance d’un appareil .
AgentForger dans ChatGPT
Une autre vulnérabilité, baptisée AgentForger, permettait, selon Zenity Labs, de détourner le générateur d’agents de ChatGPT à partir d’un seul lien malveillant. La démonstration montrait la création d’un agent contrôlé par l’attaquant au sein du compte de la victime, avec les identifiants de l’employé et les applications connectées à son espace de travail .
Des extensions IA piégées dans la chaîne logicielle
Zenity Labs a également découvert une campagne de vol d’identifiants sur skills.sh, le registre d’extensions pour agents IA de Vercel. Des extensions usurpaient les noms de services légitimes grâce à des variantes orthographiques proches. Une famille de compétences malveillantes a cumulé plus de 1,7 million d’installations — un total de téléchargements et non un nombre de victimes uniques — avant de déployer des voleurs d’identifiants .
Des infrastructures IA exposées détournées
Enfin, les pots de miel de Zenity Labs ont détecté des attaquants prenant le contrôle d’instances Ollama et LiteLLM exposées et non authentifiées. Ils les utilisaient pour exécuter gratuitement des outils autonomes de test d’intrusion contre des tiers .
Ce que les entreprises doivent en retenir
Le contournement d’un bac à sable n’est plus un risque théorique. Dès lors qu’une organisation fait analyser des documents par un assistant IA, ces fichiers deviennent une surface d’attaque potentielle. Un document téléversé peut servir de point d’entrée sans campagne d’hameçonnage classique, sans macro et sans interaction supplémentaire de l’utilisateur .
Cela oblige les équipes de sécurité à considérer les contenus traités par l’IA comme un canal d’exécution possible, et non comme de simples données à résumer ou à rechercher. Les contrôles appliqués aux courriels et aux fichiers doivent donc être complétés par une surveillance des actions réalisées par les assistants.
La notion de Remote Prompt Execution élargit aussi le débat sur l’injection de prompts. Le problème ne se limite pas à une fuite d’informations ou à une réponse erronée : une chaîne d’exploits peut, dans certains scénarios, conduire à une compromission de l’hôte . Les entreprises doivent ainsi viser une forme de résilience agentique : visibilité des actions, détection des comportements anormaux, limitation des privilèges et capacité à interrompre ou à annuler les opérations destructrices d’un agent .
Le risque s’étend enfin à l’écosystème logiciel des agents. Avec les extensions piégées et les noms usurpés, les registres de « skills » se rapprochent de véritables magasins d’applications : ils concentrent la confiance des utilisateurs, mais posent les mêmes questions de vérification, de provenance et de mise à jour .
Rubrik Zero Labs estime que seules 23 % des organisations disposent aujourd’hui d’une visibilité complète sur leurs agents IA . Dans ces conditions, identifier une compromission de type ChatMate — et mesurer ce que l’assistant a pu consulter ou modifier — reste particulièrement difficile.
letsdatascience.com
Rubrik Researchers Detail Microsoft Copilot Sandbox Escape
