ChatMate pokazał, że dokument może przejąć AI-asystenta

Jak działał łańcuch ChatMate?

Atak miał pięć etapów i mógł rozpocząć się od przesłania jednego spreparowanego dokumentu Word. Dodatkowa interakcja użytkownika nie była wymagana .

1. Prompt injection. Pracownik przesyła dokument albo prosi Microsoft 365 Copilot o jego analizę. Plik zawiera ukryte, złośliwe instrukcje .
2. Utrzymanie się w piaskownicy. Wstrzyknięty prompt przechodzi przez mechanizmy oczyszczania danych wejściowych i pozwala atakującemu utrzymać punkt zaczepienia w piaskownicy Copilota .
3. Ucieczka z piaskownicy. Wykorzystanie błędu pozwala opuścić odizolowane środowisko kontenera. Był to pierwszy publicznie opisany przypadek takiej ucieczki z piaskownicy Copilota . Raporty wskazują na błąd path traversal — niewłaściwe przetwarzanie ścieżek — w dynamicznych sesjach Azure Container Apps; w części opisów jako powiązane środowisko pojawia się Azure Kubernetes Service .
4. Ruch lateralny. Po uzyskaniu dostępu do hosta napastnik może przemieszczać się w infrastrukturze backendowej Azure .
5. Remote Prompt Execution. Końcowym rezultatem jest trwały, dwukierunkowy kanał interakcji z asystentem ofiary, który w praktyce umożliwia zdalne wykonywanie dowolnego kodu na jej maszynie . Joe Hladik, szef Rubrik Zero Labs, opisał ten efekt jako „interaktywny dostęp do asystentów AI”, dający atakującym „możliwość uruchamiania dowolnego kodu na maszynie ofiary” .

Ori Lahav wymienił na LinkedIn kolejne elementy łańcucha: prompt injection, eskalację uprawnień, path traversal, wstrzyknięcie do pliku .toml oraz exploit LD_PRELOAD .

CVE-2026-32193, ocena 8,8 i nagroda 48 tys. dolarów

W łańcuchu ChatMate wykorzystano między innymi lukę CVE-2026-32193, opisywaną jako problem path traversal w Azure Kubernetes Service, który umożliwiał autoryzowanemu napastnikowi lokalne wykonanie kodu . Luka otrzymała ocenę CVSS 8,8, czyli wysoki poziom zagrożenia .

Microsoft wypłacił za zgłoszenie 48 tys. dolarów. Kwotę tę Ori Lahav potwierdził publicznie na LinkedIn .

Rubrik poinformował Microsoft o problemie w lutym 2026 roku w ramach odpowiedzialnego ujawniania. Według dostępnych relacji firma usunęła lukę do połowy marca . Ponieważ poprawka została wdrożona po stronie serwerowej, klienci Microsoft 365 Copilot nie musieli instalować osobnego uaktualnienia .

ChatMate był częścią większej fali odkryć

Black Hat USA 2026 przyniósł także inne przykłady tego, jak atakujący mogą wykorzystywać asystentów, agentów i infrastrukturę AI:

• PleaseFix firmy Zenity Labs. Badacze pokazali bezklikowe łańcuchy ataków dotyczące Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas i Copilot Edge. Scenariusze obejmowały kradzież danych i poświadczeń, przejęcie kont oraz zdalne sterowanie urządzeniem .
• AgentForger w ChatGPT. Jeden złośliwy link mógł przejąć funkcję Agent Builder w ChatGPT i utworzyć w koncie ofiary agenta kontrolowanego przez napastnika. Agent wykorzystywał uprawnienia pracownika oraz połączone aplikacje .
• Złośliwe „umiejętności” agentów. Zenity Labs wykryło kampanię w publicznym repozytorium skills.sh firmy Vercel. Atakujący tworzyli podszywające się pod oryginalne dodatki wersje, które kradły dane uwierzytelniające. Rodzina tych narzędzi odnotowała ponad 1,7 mln instalacji łącznie — nie oznacza to 1,7 mln unikalnych użytkowników .
• Przejęte backendy AI. Honeypoty Zenity Labs wykryły napastników wykorzystujących niezabezpieczone instancje Ollama i LiteLLM do uruchamiania autonomicznych narzędzi do testów penetracyjnych przeciwko podmiotom trzecim .

Co to oznacza dla firm wdrażających AI?

Ucieczka z piaskownicy przestała być wyłącznie teoretycznym scenariuszem. Każda organizacja, która pozwala asystentowi AI analizować dokumenty, musi uwzględnić ten typ powierzchni ataku .

Pojedynczy dokument może stać się wektorem początkowego dostępu. W opisanym scenariuszu nie były potrzebne dodatkowe kliknięcia, makra ani świadome wykonanie polecenia przez pracownika . Oznacza to, że klasyczne zabezpieczenia poczty i plików powinny analizować także to, co dzieje się z treścią po przekazaniu jej agentowi AI.

Prompt injection może prowadzić znacznie dalej niż do wycieku danych. Klasa RPE pokazuje, że połączenie manipulacji instrukcjami z podatnościami infrastruktury może skutkować przejęciem hosta . Zespoły bezpieczeństwa powinny więc myśleć nie tylko o zapobieganiu, lecz także o „odporności agentowej” — wykrywaniu szkodliwych działań i możliwości ich cofnięcia .

Łańcuch dostaw oprogramowania AI jest aktywnie atakowany. Publiczne rejestry umiejętności agentów zaczynają przypominać sklepy z aplikacjami: oferują wygodę, ale wymagają weryfikacji pochodzenia, uprawnień i zachowania dodatków. Kampania obejmująca ponad 1,7 mln zbiorczych instalacji pokazuje skalę tego problemu .

Dodatkowym utrudnieniem jest ograniczona widoczność. Według Rubrik Zero Labs pełny obraz wykorzystywanych agentów AI ma zaledwie 23% organizacji, co może znacząco utrudniać wykrycie podobnego przejęcia .