Come funzionava l’attacco in cinque fasi

Secondo la dimostrazione, un singolo caricamento di un documento compromesso poteva innescare una catena fino alla compromissione dell’host, senza ulteriori interazioni dell’utente .

1. Iniezione del prompt. Un dipendente carica un documento Word o chiede a Microsoft 365 Copilot di analizzarlo. Nel file sono nascoste istruzioni ostili .
2. Persistenza nel sandbox. Le istruzioni riescono a superare i controlli di sanitizzazione degli input e a mantenere una presenza nel sandbox AI di Copilot .
3. Fuga dal sandbox. L’exploit esce dall’ambiente containerizzato isolato di Copilot: secondo i ricercatori, si tratta della prima fuga documentata di questo tipo . La catena sfruttava una vulnerabilità di path traversal nelle sessioni dinamiche dell’infrastruttura Azure; i resoconti disponibili la riconducono ad Azure Container Apps o ad Azure Kubernetes Service .
4. Movimento laterale. Una volta raggiunto l’host, l’attaccante può spostarsi nell’infrastruttura backend di Azure .
5. Remote Prompt Execution. L’attacco culmina in un accesso interattivo, bidirezionale e persistente alla sessione dell’assistente della vittima, con la possibilità di eseguire codice da remoto . Joe Hladik, responsabile di Rubrik Zero Labs, ha descritto il risultato come un accesso interattivo agli assistenti AI che offre agli aggressori «la capacità di eseguire codice arbitrario sulla macchina della vittima» .

Lahav ha riassunto i passaggi tecnici della catena indicando: prompt injection, escalation dei privilegi, path traversal, iniezione di file .toml e infine un exploit LD_PRELOAD .

CVE, gravità e ricompensa

La vulnerabilità infrastrutturale al centro della fuga è stata identificata come CVE-2026-32193, un problema di path traversal associato ad Azure Kubernetes Service .

• Punteggio CVSS: 8,8, classificato come rischio elevato .
• Ricompensa per la segnalazione: 48.000 dollari da parte di Microsoft .
• Divulgazione responsabile: Rubrik ha segnalato il problema a Microsoft a febbraio 2026; l’azienda ha indicato di aver corretto la vulnerabilità entro metà marzo .

Il problema specifico è stato risolto lato server. Di conseguenza, i clienti di Microsoft 365 Copilot non hanno dovuto installare una nuova patch sui propri dispositivi . La correzione, tuttavia, non elimina il tema più ampio: la possibilità che tecniche simili vengano applicate ad altri assistenti AI collegati a infrastrutture cloud .

Gli altri allarmi AI emersi a Black Hat USA 2026

ChatMate si inserisce in una serie di ricerche che hanno mostrato quanto gli assistenti e gli agenti AI stiano diventando un nuovo livello della superficie d’attacco.

• PleaseFix e gli attacchi zero-click. Zenity Labs ha dimostrato catene d’exploit contro Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas e Copilot Edge. Gli scenari mostravano come arrivare al furto silenzioso di dati e credenziali, alla presa di controllo degli account e al controllo remoto dei dispositivi .
• AgentForger per ChatGPT. Una singola pagina o un link malevolo poteva sfruttare ChatGPT Agent Builder per creare e distribuire nell’account della vittima un agente AI controllato dall’attaccante. L’agente avrebbe operato con le credenziali del dipendente e con l’accesso alle app collegate .
• La supply chain delle “skill” AI. Zenity Labs ha scoperto una campagna di pacchetti contraffatti nel registro pubblico skills.sh di Vercel. Le skill utilizzavano nomi simili a quelli legittimi e, secondo i ricercatori, la famiglia compromessa ha superato 1,7 milioni di installazioni aggregate: un dato che non equivale al numero di vittime uniche .
• Backend AI esposti e riutilizzati dagli aggressori. I sistemi honeypot di Zenity hanno rilevato attaccanti che prendevano il controllo di istanze Ollama e LiteLLM esposte e prive di autenticazione, usandole per eseguire strumenti automatizzati di penetration testing contro terze parti .

Cosa cambia per le aziende

La lezione principale di ChatMate è che il documento caricato in un assistente AI non può più essere considerato soltanto un file da leggere. Se il sistema interpreta il contenuto e lo usa per orientare il comportamento dell’agente, quel documento può diventare anche un canale di esecuzione e di compromissione .

Per le organizzazioni che adottano Copilot o strumenti analoghi, emergono almeno quattro priorità:

• Considerare reale il rischio di fuga dal sandbox. Non è più soltanto uno scenario teorico: un assistente che elabora documenti eredita una superficie d’attacco che coinvolge sia il contenuto sia l’infrastruttura che lo processa .
• Trattare i file come possibili vettori di accesso iniziale. In questo scenario non servono un clic su un’e-mail di phishing, una macro o un’ulteriore conferma dell’utente: può bastare il caricamento di un documento . I controlli tradizionali su posta e file devono quindi considerare anche il passaggio attraverso sistemi AI.
• Passare dalla sola prevenzione alla resilienza degli agenti. La Remote Prompt Execution mostra che una prompt injection può evolvere in una compromissione dell’host attraverso più vulnerabilità concatenate . Oltre a bloccare gli attacchi, i team di sicurezza devono poter rilevare, limitare e possibilmente annullare le azioni distruttive compiute da un agente .
• Sorvegliare la supply chain delle estensioni AI. Le installazioni contraffatte e i nomi typosquattati mostrano che i registri delle skill stanno assumendo un ruolo simile a quello degli app store, con problemi analoghi di fiducia, verifica e aggiornamento .

Il quadro è reso ancora più difficile dalla scarsa visibilità: Rubrik Zero Labs ha rilevato che solo il 23% delle organizzazioni dichiara di avere una visibilità completa sui propri agenti AI . Per molte aziende, dunque, il primo ostacolo non è soltanto impedire una fuga dal sandbox, ma accorgersi che un agente è stato manipolato.

Come funzionava l’attacco in cinque fasi

Secondo la dimostrazione, un singolo caricamento di un documento compromesso poteva innescare una catena fino alla compromissione dell’host, senza ulteriori interazioni dell’utente .

1. Iniezione del prompt. Un dipendente carica un documento Word o chiede a Microsoft 365 Copilot di analizzarlo. Nel file sono nascoste istruzioni ostili .
2. Persistenza nel sandbox. Le istruzioni riescono a superare i controlli di sanitizzazione degli input e a mantenere una presenza nel sandbox AI di Copilot .
3. Fuga dal sandbox. L’exploit esce dall’ambiente containerizzato isolato di Copilot: secondo i ricercatori, si tratta della prima fuga documentata di questo tipo . La catena sfruttava una vulnerabilità di path traversal nelle sessioni dinamiche dell’infrastruttura Azure; i resoconti disponibili la riconducono ad Azure Container Apps o ad Azure Kubernetes Service .
4. Movimento laterale. Una volta raggiunto l’host, l’attaccante può spostarsi nell’infrastruttura backend di Azure .
5. Remote Prompt Execution. L’attacco culmina in un accesso interattivo, bidirezionale e persistente alla sessione dell’assistente della vittima, con la possibilità di eseguire codice da remoto . Joe Hladik, responsabile di Rubrik Zero Labs, ha descritto il risultato come un accesso interattivo agli assistenti AI che offre agli aggressori «la capacità di eseguire codice arbitrario sulla macchina della vittima» .

Lahav ha riassunto i passaggi tecnici della catena indicando: prompt injection, escalation dei privilegi, path traversal, iniezione di file .toml e infine un exploit LD_PRELOAD .

CVE, gravità e ricompensa

La vulnerabilità infrastrutturale al centro della fuga è stata identificata come CVE-2026-32193, un problema di path traversal associato ad Azure Kubernetes Service .

• Punteggio CVSS: 8,8, classificato come rischio elevato .
• Ricompensa per la segnalazione: 48.000 dollari da parte di Microsoft .
• Divulgazione responsabile: Rubrik ha segnalato il problema a Microsoft a febbraio 2026; l’azienda ha indicato di aver corretto la vulnerabilità entro metà marzo .

Il problema specifico è stato risolto lato server. Di conseguenza, i clienti di Microsoft 365 Copilot non hanno dovuto installare una nuova patch sui propri dispositivi . La correzione, tuttavia, non elimina il tema più ampio: la possibilità che tecniche simili vengano applicate ad altri assistenti AI collegati a infrastrutture cloud .

Gli altri allarmi AI emersi a Black Hat USA 2026

ChatMate si inserisce in una serie di ricerche che hanno mostrato quanto gli assistenti e gli agenti AI stiano diventando un nuovo livello della superficie d’attacco.

• PleaseFix e gli attacchi zero-click. Zenity Labs ha dimostrato catene d’exploit contro Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas e Copilot Edge. Gli scenari mostravano come arrivare al furto silenzioso di dati e credenziali, alla presa di controllo degli account e al controllo remoto dei dispositivi .
• AgentForger per ChatGPT. Una singola pagina o un link malevolo poteva sfruttare ChatGPT Agent Builder per creare e distribuire nell’account della vittima un agente AI controllato dall’attaccante. L’agente avrebbe operato con le credenziali del dipendente e con l’accesso alle app collegate .
• La supply chain delle “skill” AI. Zenity Labs ha scoperto una campagna di pacchetti contraffatti nel registro pubblico skills.sh di Vercel. Le skill utilizzavano nomi simili a quelli legittimi e, secondo i ricercatori, la famiglia compromessa ha superato 1,7 milioni di installazioni aggregate: un dato che non equivale al numero di vittime uniche .
• Backend AI esposti e riutilizzati dagli aggressori. I sistemi honeypot di Zenity hanno rilevato attaccanti che prendevano il controllo di istanze Ollama e LiteLLM esposte e prive di autenticazione, usandole per eseguire strumenti automatizzati di penetration testing contro terze parti .

Cosa cambia per le aziende

La lezione principale di ChatMate è che il documento caricato in un assistente AI non può più essere considerato soltanto un file da leggere. Se il sistema interpreta il contenuto e lo usa per orientare il comportamento dell’agente, quel documento può diventare anche un canale di esecuzione e di compromissione .

Per le organizzazioni che adottano Copilot o strumenti analoghi, emergono almeno quattro priorità:

• Considerare reale il rischio di fuga dal sandbox. Non è più soltanto uno scenario teorico: un assistente che elabora documenti eredita una superficie d’attacco che coinvolge sia il contenuto sia l’infrastruttura che lo processa .
• Trattare i file come possibili vettori di accesso iniziale. In questo scenario non servono un clic su un’e-mail di phishing, una macro o un’ulteriore conferma dell’utente: può bastare il caricamento di un documento . I controlli tradizionali su posta e file devono quindi considerare anche il passaggio attraverso sistemi AI.
• Passare dalla sola prevenzione alla resilienza degli agenti. La Remote Prompt Execution mostra che una prompt injection può evolvere in una compromissione dell’host attraverso più vulnerabilità concatenate . Oltre a bloccare gli attacchi, i team di sicurezza devono poter rilevare, limitare e possibilmente annullare le azioni distruttive compiute da un agente .
• Sorvegliare la supply chain delle estensioni AI. Le installazioni contraffatte e i nomi typosquattati mostrano che i registri delle skill stanno assumendo un ruolo simile a quello degli app store, con problemi analoghi di fiducia, verifica e aggiornamento .

Il quadro è reso ancora più difficile dalla scarsa visibilità: Rubrik Zero Labs ha rilevato che solo il 23% delle organizzazioni dichiara di avere una visibilità completa sui propri agenti AI . Per molte aziende, dunque, il primo ostacolo non è soltanto impedire una fuga dal sandbox, ma accorgersi che un agente è stato manipolato.