ChatMate：初のMicrosoft Copilotサンドボックス脱出——Black Hat USA 2026で明かされた全容

1. 第1段階 — プロンプトインジェクション：従業員がMicrosoft 365 CopilotにWord文書をアップロード、または同文書について質問すると、文書内に隠された悪意ある指示が読み込まれます。
2. 第2段階 — サンドボックス内での持続：インジェクションされたプロンプトはサービスの入力サニタイズを回避し、CopilotのAIサンドボックス内に足場を築きます。
3. 第3段階 — サンドボックス脱出：エクスプロイトはCopilotの隔離されたコンテナ環境から脱出します——これは初の文書化されたサンドボックス脱出です。この脱出には、Azure Container Apps動的セッション（またはAzure Kubernetes Service）のパストラバーサル脆弱性が利用されました。
4. 第4段階 — 水平移動：ホストに到達した攻撃者は、Azureのバックエンドインフラストラクチャ全体に移動します。
5. 第5段階 — Remote Prompt Execution（RPE）：攻撃者は被害者のマシンに対して持続的で双方向のインタラクティブなアクセスを獲得し、事実上リモートで任意のコードを実行できる状態になります。Rubrik Zero Labsの責任者であるJoe Hladik氏は、これを「AIアシスタントへのインタラクティブなアクセス」であり、攻撃者に「被害者のマシン上で任意のコードを実行する能力」を与えるものと表現しています。

研究者のOri Lahav氏はLinkedIn上で、技術的な手順を次のように詳述しています。「エクスプロイトチェーンには以下の要素が含まれていました。🔓 プロンプトインジェクション 🔓 権限昇格 🔓 パストラバーサル 🔓 .tomlインジェクション 🔓 そして最終的にLD_PRELOADエクスプロイト」。

脆弱性の識別情報、CVSSスコア、報奨金

• CVE-2026-32193 — サンドボックス脱出を可能にした、Azure Kubernetes Serviceのパストラバーサル問題です。
• CVSSスコア：8.8（High：重要）。
• 報奨金：$48,000（約720万円）がMicrosoftから支払われました。Ori Lahav氏はこの金額をLinkedIn上で確認しています。

Microsoftは、Rubrikの責任ある開示（2026年2月）を受けて、2026年3月中旬までにこの欠陥を修正しました。注目すべき点として、Microsoft 365 Copilotの顧客は新たなパッチを自ら適用する必要はなく、修正はサーバー側で行われました。

Black Hat USA 2026で明らかになった、より広範なAIセキュリティインシデント

ChatMateの発表は、同カンファレンスで相次いで報告されたAI関連セキュリティ問題の一つです：

• Zenity Labs — 「PleaseFix」ゼロクリックチェーン：Claude in Chrome、Gemini in Chrome、Perplexity Comet、ChatGPT Atlas、Copilot Edgeにわたるエクスプロイトチェーンを実演。これにより、サイレントなデータ窃取、認証情報の窃取、アカウント乗っ取り、リモート端末制御が可能になることを示しました。
• Zenity Labs — 「AgentForger」（ChatGPT）：1つの悪意あるリンクでOpenAIのChatGPT Agent Builderを乗っ取り、被害者のアカウント内に攻撃者が制御するAIエージェントを、その従業員自身の資格情報と接続済みアプリを用いて作成できるクリティカルな脆弱性です。
• トロイの木馬化されたAIスキルによるサプライチェーン攻撃：Zenity Labsは、Vercelが運営するskills.shレジストリで、AIエージェントスキルをタイポスクワッティング（類似名での登録）し、170万以上のインストールを獲得して認証情報を窃取するキャンペーンを発見しました。
• 露出したAIバックエンドの武器化：Zenity Labsのハニーポットは、露出したOllamaやLiteLLMのインスタンスを乗っ取り、第三者に対する自律的なペネトレーションテストツールを実行する攻撃者を検知しました。

エンタープライズAIアシスタント導入への影響

• サンドボックス脱出は、理論上のリスクではなく、実証された現実です。文書処理機能を備えたAIアシスタントを導入するすべての企業は、この攻撃対象領域を継承することになります。
• 文書のアップロード1つが、実行可能な初期アクセスベクトルとなります——フィッシングのクリックも、マクロの実行も、ユーザーの追加操作も不要です。従来のメールおよびファイルセキュリティ対策は、AIが処理するコンテンツを新たな実行チャネルとして扱う必要があります。
• 「Remote Prompt Execution」というクラスは、プロンプトインジェクションが単なるデータ漏洩の問題ではなく、チェーン化されたエクスプロイトを介して完全なホスト侵害にエスカレートする可能性があることを示しています。セキュリティチームは、防止のみを考えるのではなく、破壊的なAIエージェントの行動を検出しロールバックする能力を含む「エージェンティックレジリエンス（Agentic Resilience）」の観点で考える必要があります。
• AIソフトウェアサプライチェーンは活発な攻撃下にあります——170万インストールの認証情報窃取キャンペーンとタイポスクワッティングされたスキルは、エージェントスキルレジストリが新たなアプリストアとなり、同様の信頼と検証の課題に直面していることを示しています。
• **Rubrik Zero Labsの調査によると、自社のAIエージェントを完全に可視化できている組織はわずか23%**であり、今日の状況ではこの種の侵害を検出することは極めて困難です。