ChatMate: Saat Satu Dokumen Berbahaya Menembus Sandbox Microsoft Copilot

Bagaimana ChatMate bekerja?

Rantai serangan ini mengubah unggahan satu dokumen berbahaya menjadi kompromi host tanpa memerlukan interaksi tambahan dari pengguna . Tahapannya adalah:

1. Prompt injection — Karyawan mengunggah atau meminta Microsoft 365 Copilot menganalisis dokumen Word yang menyimpan instruksi berbahaya secara tersembunyi .
2. Persistensi di sandbox — Instruksi tersebut melewati penyaringan prompt injection dan mempertahankan pijakan di dalam sandbox AI Copilot .
3. Pelarian dari sandbox — Eksploitasi menembus lingkungan container yang terisolasi. Inilah pelarian sandbox pertama yang didokumentasikan untuk Copilot . Laporan yang tersedia mengaitkan tahap ini dengan kelemahan path traversal pada dynamic sessions Azure Container Apps; laporan lain menyebut Azure Kubernetes Service (AKS) .
4. Pergerakan lateral — Setelah mencapai host, penyerang bergerak melintasi infrastruktur backend Azure .
5. Remote Prompt Execution — Penyerang memperoleh akses interaktif, persisten, dan dua arah ke mesin korban—secara efektif membuka kemungkinan menjalankan kode dari jarak jauh . Joe Hladik, pimpinan Rubrik Zero Labs, menggambarkannya sebagai akses interaktif ke asisten AI yang memberi penyerang kemampuan menjalankan kode arbitrer pada mesin korban .

Lahav merangkum komponen teknis rantai tersebut di LinkedIn sebagai prompt injection, privilege escalation, path traversal, injeksi berkas .toml, dan eksploit LD_PRELOAD .

CVE-2026-32193 dan hadiah US$48.000

Kerentanan infrastruktur yang dikaitkan dengan rantai ChatMate adalah CVE-2026-32193, yakni kelemahan path traversal pada Azure Kubernetes Service yang memungkinkan penyerang terautentikasi mengeksekusi kode secara lokal . Kerentanan ini memperoleh skor CVSS 8,8, yang masuk kategori tingkat keparahan tinggi .

Microsoft memberikan bug bounty sebesar US$48.000 kepada peneliti . Lahav mengonfirmasi nilai tersebut secara terbuka melalui LinkedIn .

Rubrik mengatakan penemuan itu dilaporkan secara bertanggung jawab pada Februari 2026 dan Microsoft telah memperbaiki kelemahan spesifiknya pada pertengahan Maret . Karena perbaikannya dilakukan di sisi server, pelanggan Microsoft 365 Copilot tidak perlu memasang patch baru secara manual . Meski demikian, Hladik memperingatkan bahwa teknik untuk keluar dari sandbox dan mencapai backend Azure berpotensi relevan pada asisten AI lain, meskipun kerentanan tertentu sudah ditambal .

Temuan keamanan AI lain di Black Hat USA 2026

ChatMate muncul di tengah sejumlah pengungkapan keamanan AI lain pada konferensi yang sama:

• Rantai zero-click “PleaseFix” dari Zenity Labs — Peneliti menunjukkan rantai serangan pada Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas, dan Copilot Edge. Serangan tersebut dapat membuka jalan menuju pencurian data dan kredensial, pengambilalihan akun, hingga kendali jarak jauh atas perangkat korban .
• “AgentForger” pada ChatGPT — Satu tautan berbahaya disebut dapat membajak ChatGPT Agent Builder milik OpenAI untuk membuat agen AI yang dikendalikan penyerang di akun korban. Agen itu memanfaatkan kredensial karyawan dan aplikasi yang sudah terhubung .
• Serangan rantai pasok “skills” AI — Zenity Labs menemukan kampanye pencurian kredensial pada skills.sh, direktori publik untuk ekstensi agen AI yang dikelola Vercel. Skill palsu yang meniru nama layanan populer mengumpulkan lebih dari 1,7 juta instalasi agregat; angka tersebut tidak berarti 1,7 juta korban unik .
• Backend AI terbuka disalahgunakan — Honeypot Zenity Labs menangkap penyerang yang membajak instance Ollama dan LiteLLM yang terekspos untuk menjalankan perangkat pengujian penetrasi otonom terhadap pihak ketiga .

Implikasi bagi perusahaan yang mengadopsi asisten AI

Temuan ChatMate mengubah cara perusahaan perlu melihat fitur analisis dokumen pada asisten AI.

• Pelarian sandbox bukan lagi risiko teoretis. Perusahaan yang memproses dokumen melalui asisten AI harus menganggap lingkungan isolasi tersebut sebagai permukaan serangan yang perlu dipantau .
• Unggahan dokumen dapat menjadi vektor akses awal. Dalam demonstrasi ini, tidak diperlukan klik phishing, makro, atau tindakan lanjutan dari pengguna . Kontrol keamanan email dan berkas tradisional perlu memperlakukan konten yang diproses AI sebagai jalur yang dapat memengaruhi eksekusi.
• Prompt injection dapat berkembang menjadi kompromi host. RPE menunjukkan bahwa manipulasi instruksi bukan semata masalah kebocoran data; jika dirangkai dengan eskalasi hak akses dan eksploit infrastruktur, dampaknya dapat meluas hingga pengambilalihan host .
• Ketahanan agen harus melampaui pencegahan. Tim keamanan juga perlu menyiapkan deteksi, pembatasan dampak, serta kemampuan memulihkan atau “memutar balik” tindakan destruktif agen AI .
• Rantai pasok perangkat lunak AI sedang dibidik. Kasus skill berbahaya dengan 1,7 juta instalasi agregat menunjukkan bahwa direktori skill agen mulai berperan seperti toko aplikasi—dengan tantangan serupa dalam verifikasi, reputasi, dan kepercayaan .
• Visibilitas perusahaan masih terbatas. Rubrik Zero Labs menemukan hanya 23% organisasi yang memiliki visibilitas penuh terhadap agen AI mereka, sehingga mendeteksi kompromi seperti ini masih sulit bagi banyak perusahaan .

Bagi pengelola TI, pesan utamanya bukan bahwa setiap dokumen pasti berbahaya, melainkan bahwa dokumen yang dibaca agen AI kini harus diperlakukan sebagai input aktif dalam sistem berhak akses—bukan sekadar berkas pasif.