ChatMate: Eksploit pertama yang didokumenkan untuk menembusi sandbox Microsoft Copilot

Dalam konteks ini, sandbox ialah persekitaran terasing yang sepatutnya mengehadkan tindakan pembantu AI. Namun, ChatMate menunjukkan bagaimana arahan tersembunyi dalam dokumen boleh menjadi titik permulaan kepada rantaian serangan yang jauh lebih serius.

Lima peringkat ChatMate

Rantaian ini mengubah satu muat naik dokumen berbahaya kepada pengambilalihan hos sepenuhnya tanpa memerlukan tindakan lanjut daripada pengguna :

1. Suntikan arahan (prompt injection) — Seorang pekerja memuat naik atau meminta Microsoft 365 Copilot menganalisis dokumen Word yang mengandungi arahan berbahaya tersembunyi .
2. Kegigihan dalam sandbox — Arahan yang disuntik berjaya melepasi proses sanitasi input perkhidmatan dan membina kedudukan dalam sandbox AI Copilot .
3. Pelarian daripada sandbox — Eksploit itu keluar daripada persekitaran kontena terasing Copilot, yang menurut penyelidik merupakan pelarian pertama seumpamanya yang didokumenkan . Laporan mengenai mekanisme teknikal menyebut kecacatan path traversal dalam sesi dinamik Azure Container Apps atau Azure Kubernetes Service, bergantung pada laporan yang dirujuk .
4. Pergerakan lateral — Selepas mencapai hos, penyerang bergerak merentasi infrastruktur bahagian belakang Azure .
5. Remote Prompt Execution (RPE) — Penyerang memperoleh akses interaktif, dua hala dan berterusan kepada mesin mangsa—secara praktikalnya membolehkan kod sewenang-wenangnya dijalankan dari jauh . Joe Hladik, ketua Rubrik Zero Labs, menggambarkannya sebagai “akses interaktif kepada pembantu AI” yang memberikan penyerang “keupayaan untuk menjalankan kod sewenang-wenangnya pada mesin mangsa” .

Lahav turut menyenaraikan langkah teknikal rantaian tersebut di LinkedIn: “Suntikan arahan, peningkatan keistimewaan, path traversal, suntikan .toml dan akhirnya eksploit LD_PRELOAD” .

CVE, tahap keterukan dan ganjaran pepijat

• CVE-2026-32193 — isu path traversal asas dalam Azure Kubernetes Service yang membolehkan pelarian daripada sandbox .
• Skor CVSS 8.8 — dikategorikan sebagai tahap keterukan tinggi .
• Ganjaran pepijat AS$48,000 daripada Microsoft . Lahav mengesahkan jumlah itu secara terbuka di LinkedIn .

Microsoft membaiki kecacatan berkenaan pada pertengahan Mac 2026, selepas Rubrik membuat pendedahan bertanggungjawab pada Februari . Pelanggan Microsoft 365 Copilot tidak perlu memasang tampalan baharu sendiri kerana pembaikan itu dilakukan pada bahagian pelayan .

Walaupun isu khusus ini telah dibaiki, Rubrik memberi amaran bahawa teknik melarikan diri daripada sandbox untuk mencapai bahagian belakang Azure berpotensi digunakan terhadap pembantu AI lain .

Penemuan keselamatan AI lain di Black Hat USA 2026

ChatMate muncul dalam gelombang pendedahan berkaitan keselamatan AI pada persidangan yang sama:

• Rantaian “PleaseFix” tanpa klik oleh Zenity Labs — Penyelidik menunjukkan rantaian serangan merentas Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas dan Copilot Edge. Serangan itu boleh membawa kepada kecurian data dan kelayakan secara senyap, pengambilalihan akaun serta kawalan peranti dari jauh .
• “AgentForger” untuk ChatGPT — Satu pautan berbahaya boleh menyalahgunakan ChatGPT Agent Builder milik OpenAI untuk membina ejen AI yang dikawal penyerang dalam akaun mangsa, menggunakan kelayakan pekerja serta aplikasi yang telah disambungkan .
• Serangan rantaian bekalan terhadap kemahiran AI — Zenity Labs menemui kempen pencurian kelayakan di repositori skills.sh milik Vercel. Kemahiran AI palsu yang menggunakan nama hampir sama dengan perkhidmatan sah itu mengumpulkan lebih 1.7 juta pemasangan secara agregat untuk menyebarkan pencuri kelayakan; angka tersebut tidak semestinya mewakili jumlah mangsa unik .
• Bahagian belakang AI terdedah dijadikan senjata — Honeypot Zenity Labs mengesan penyerang mengambil alih contoh Ollama dan LiteLLM yang terdedah untuk menjalankan alat ujian penembusan autonomi terhadap pihak ketiga .

Apa maknanya untuk penggunaan pembantu AI di perusahaan?

1. Pelarian sandbox bukan lagi sekadar risiko teori

ChatMate menunjukkan bahawa lapisan pengasingan AI boleh menjadi sasaran eksploit. Organisasi yang menggunakan pembantu AI untuk memproses dokumen perlu menganggap kandungan pengguna sebagai sebahagian daripada permukaan serangan .

2. Satu dokumen boleh menjadi pintu masuk

Dalam senario yang diterangkan, penyerang tidak memerlukan klik phishing, makro atau interaksi tambahan selepas dokumen diproses . Ini bermakna kawalan keselamatan e-mel dan fail tradisional perlu mengambil kira kemungkinan bahawa kandungan yang dihantar kepada AI boleh mempengaruhi tindakan sistem—bukan sekadar menghasilkan jawapan teks.

3. Suntikan arahan boleh berkembang menjadi pengambilalihan hos

RPE memperluas pemahaman tentang prompt injection. Isunya bukan hanya kebocoran data atau jawapan yang dimanipulasi; melalui rantaian eksploit, ia boleh membawa kepada akses interaktif dan kompromi hos . Pasukan keselamatan perlu memikirkan ketahanan ejen AI—termasuk keupayaan mengesan, mengehadkan dan mengundurkan tindakan ejen yang merosakkan—bukan bergantung pada pencegahan semata-mata .

4. Rantaian bekalan kemahiran AI memerlukan pengesahan ketat

Kempen dengan lebih 1.7 juta pemasangan itu menunjukkan bahawa repositori kemahiran ejen AI semakin menyerupai gedung aplikasi: ia menawarkan kemudahan penggunaan, tetapi turut membawa risiko pakej palsu, arahan yang diubah suai dan kepercayaan yang sukar disahkan .

5. Organisasi masih kurang nampak apa yang dilakukan ejen mereka

Rubrik Zero Labs mendapati hanya 23% organisasi mempunyai keterlihatan penuh terhadap ejen AI mereka . Tanpa inventori, pemantauan dan rekod tindakan yang mencukupi, pengesanan penyalahgunaan seperti ChatMate akan menjadi jauh lebih sukar.

Kesimpulannya, pembantu AI perusahaan tidak lagi boleh dinilai seperti aplikasi sembang biasa. Apabila ia membaca dokumen, menggunakan kelayakan pengguna dan berhubung dengan perkhidmatan awan, ia perlu diurus sebagai komponen berkeistimewaan dalam infrastruktur—dengan kawalan pengasingan, pemantauan dan keupayaan pemulihan yang setara dengan sistem kritikal lain.