ChatMate: de eerste gedocumenteerde ontsnapping uit de Microsoft Copilot-sandbox

Zo werkte ChatMate

De keten kon volgens de onderzoekers starten met één schadelijk document, zonder extra handeling van de gebruiker nadat het bestand was geüpload . In vijf stappen zag het proces er als volgt uit:

1. Promptinjectie – Een medewerker uploadt een Word-document of vraagt Copilot het bestand te analyseren. In het document staan verborgen, kwaadaardige instructies .
2. Voet aan de grond in de sandbox – De geïnjecteerde instructies weten de invoerfilters van de dienst te omzeilen en beïnvloeden het gedrag van Copilot binnen diens afgeschermde AI-omgeving .
3. Ontsnapping uit de sandbox – De onderzoekers braken uit de geïsoleerde containeromgeving. Dit was volgens de beschikbare berichtgeving de eerste gedocumenteerde ontsnapping uit de Copilot-sandbox . In rapportages wordt daarbij een path-traversalprobleem genoemd in Azure Container Apps Dynamic Sessions of Azure Kubernetes Service .
4. Laterale beweging – Vanuit de host kon de aanvaller zich verder door de Azure-backendinfrastructuur bewegen .
5. Remote Prompt Execution – Uiteindelijk ontstond persistente, interactieve toegang tot de sessie van het slachtoffer. Daarmee kon de aanvaller in de praktijk op afstand willekeurige code laten uitvoeren . Joe Hladik, hoofd van Rubrik Zero Labs, omschreef het als “interactive access to AI assistants” en als de mogelijkheid om “arbitrary code on a victim’s machine” uit te voeren .

Onderzoeker Ori Lahav beschreef de technische keten op LinkedIn als een combinatie van promptinjectie, privilege-escalatie, path traversal, .toml-injectie en een LD_PRELOAD-exploit .

CVE, ernst en bug bounty

De onderliggende kwetsbaarheid werd aangeduid als CVE-2026-32193. Het gaat om een path-traversalprobleem in Azure Kubernetes Service dat de sandbox-ontsnapping mogelijk maakte . De kwetsbaarheid kreeg een CVSS-score van 8,8, wat overeenkomt met een hoge ernstcategorie . Microsoft betaalde de onderzoekers een bug bounty van US$48.000 .

Rubrik meldde de kwetsbaarheid in februari volgens de berichtgeving over het onderzoek. Microsoft werkte vervolgens aan een oplossing en had het probleem volgens Rubrik medio maart 2026 server-side verholpen . Gebruikers van Microsoft 365 Copilot hoefden daardoor niet zelf een nieuwe patch te installeren: de oplossing werd aan de kant van Microsoft uitgerold .

ChatMate stond niet op zichzelf

Black Hat USA 2026 bracht meerdere waarschuwingen over de beveiliging van AI-agenten en AI-assistenten. Enkele opvallende bevindingen:

• PleaseFix van Zenity Labs – Onderzoekers toonden zogenoemde zero-click-aanvalsketens tegen Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas en Copilot Edge. De ketens konden leiden tot heimelijke gegevens- en diefstal van inloggegevens, accountovernames en besturing op afstand van apparaten .
• AgentForger voor ChatGPT – Eén schadelijke link kon volgens Zenity Labs de ChatGPT Agent Builder misbruiken om binnen het account van een slachtoffer een door de aanvaller beheerde AI-agent op te zetten. Die agent kon de rechten, gekoppelde apps en referenties van de medewerker erven .
• Vergiftigde AI-skills – Een campagne op Vercels openbare skills.sh-register verspreidde nagemaakte AI-agentvaardigheden met namen die leken op legitieme diensten. De besmette skills werden in totaal meer dan 1,7 miljoen keer geïnstalleerd; dat cijfer staat voor gezamenlijke downloads en niet voor unieke slachtoffers .
• Misbruik van blootgestelde AI-backends – Honeypots van Zenity Labs registreerden aanvallers die onbeveiligde Ollama- en LiteLLM-instanties kaapten om autonome pentesttools tegen derden uit te voeren .

Wat betekent dit voor bedrijven?

De belangrijkste les is dat een AI-sandbox geen vanzelfsprekende eindbarrière meer is. De ontsnapping in ChatMate is een aangetoond aanvalsscenario, geen louter theoretisch risico. Organisaties die AI-assistenten documenten laten verwerken, voegen daarmee een extra verwerkings- en uitvoeringslaag toe aan hun aanvalsoppervlak .

Ook een ogenschijnlijk onschuldig document kan een eerste toegangspunt zijn. Daarvoor zijn volgens de demonstratie geen macro’s, phishingklik of verdere gebruikersactie nodig . Traditionele e-mail- en bestandsbeveiliging moet daarom niet alleen controleren of een bestand malware bevat, maar ook rekening houden met de instructies die een AI-systeem uit dat bestand kan halen.

RPE maakt bovendien duidelijk dat promptinjectie verder kan gaan dan datalekken of ongewenste antwoorden. In combinatie met kwetsbaarheden in de onderliggende infrastructuur kan de aanval escaleren naar compromittering van de host . Beveiligingsteams zullen daarom niet alleen moeten inzetten op preventie, maar ook op agentic resilience: het kunnen detecteren, beperken en zo nodig terugdraaien van schadelijke acties van AI-agenten .

De bredere supply-chainbevindingen wijzen in dezelfde richting. AI-agenten krijgen steeds vaker uitbreidingen, skills en configuraties uit openbare registers. Die registers beginnen daarmee op appstores te lijken, inclusief vergelijkbare problemen rond vertrouwen, authenticiteit en controle .

Dat maakt zichtbaarheid cruciaal. Rubrik Zero Labs stelde vast dat slechts 23 procent van de organisaties volledig zicht heeft op hun AI-agenten. Voor veel bedrijven is het daardoor lastig om misbruik van een assistent of agent tijdig te herkennen .