ChatMate pokazał, że dokument może przejąć AI-asystenta
Ori Lahav i Dan Avraham z Rubrik Zero Labs przedstawili na Black Hat USA 2026 ChatMate — pierwszy udokumentowany przypadek ucieczki z piaskownicy Microsoft 365 Copilot. Łańcuch wykorzystywał pojedynczy złośliwy dokument i prowadził od prompt injection do interaktywnego, zdalnego wykonywania poleceń w sesji ofiary.
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
Ori Lahav i Dan Avraham z Rubrik Zero Labs przedstawili na Black Hat USA 2026 ChatMate — pierwszy udokumentowany przypadek ucieczki z piaskownicy Microsoft 365 Copilot.
Łańcuch wykorzystywał pojedynczy złośliwy dokument i prowadził od prompt injection do interaktywnego, zdalnego wykonywania poleceń w sesji ofiary.
Podstawowa luka, CVE 2026 32193, otrzymała ocenę CVSS 8,8, a Microsoft wypłacił za jej zgłoszenie 48 tys.
Przypadek ChatMate pokazuje, że treści przetwarzane przez asystentów AI powinny być traktowane jako nowy kanał wykonania ataku, a nie wyłącznie jako dane wejściowe.
What novel exploit chain did Rubrik Zero Labs researchers present at Black Hat USA 2026 regarding Microsoft Copilot, how did the attack workAn AI-generated illustration representing the ChatMate exploit chain that targets Microsoft 365 Copilot. The attack begins with a single malicious document and culminates in a full sandbox escape.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What novel exploit chain did Rubrik Zero Labs researchers present at Black Hat USA 2026 regarding Microsoft Copilot, how did the attack work. Article summary: Here are the key findings based on reports from Black Hat USA 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
ChatMate: od złośliwego pliku do przejęcia sesji Copilota
Na konferencji Black Hat USA 2026 badacze Ori Lahav i Dan Avraham z Rubrik Zero Labs zaprezentowali łańcuch exploitów nazwany ChatMate. Według przedstawionych ustaleń był to pierwszy udokumentowany przypadek wydostania się z piaskownicy Microsoft 365 Copilot — odizolowanego środowiska, które ma ograniczać skutki działania asystenta AI .
Badacze opisali przy tym nową klasę zagrożeń: Remote Prompt Execution (RPE), czyli zdalne wykonywanie poleceń za pośrednictwem sesji asystenta . W praktyce problem nie kończył się na nakłonieniu modelu do udzielenia niepożądanej odpowiedzi. Łańcuch prowadził do trwałego, dwukierunkowego i interaktywnego dostępu do sesji ofiary .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ChatMate pokazał, że dokument może przejąć AI-asystenta"?
Ori Lahav i Dan Avraham z Rubrik Zero Labs przedstawili na Black Hat USA 2026 ChatMate — pierwszy udokumentowany przypadek ucieczki z piaskownicy Microsoft 365 Copilot.
What are the key points to validate first?
Ori Lahav i Dan Avraham z Rubrik Zero Labs przedstawili na Black Hat USA 2026 ChatMate — pierwszy udokumentowany przypadek ucieczki z piaskownicy Microsoft 365 Copilot. Łańcuch wykorzystywał pojedynczy złośliwy dokument i prowadził od prompt injection do interaktywnego, zdalnego wykonywania poleceń w sesji ofiary.
What should I do next in practice?
Podstawowa luka, CVE 2026 32193, otrzymała ocenę CVSS 8,8, a Microsoft wypłacił za jej zgłoszenie 48 tys.
ChatMate pokazał, że dokument może przejąć AI-asystenta
Ori Lahav i Dan Avraham z Rubrik Zero Labs przedstawili na Black Hat USA 2026 ChatMate — pierwszy udokumentowany przypadek ucieczki z piaskownicy Microsoft 365 Copilot. Łańcuch wykorzystywał pojedynczy złośliwy dokument i prowadził od prompt injection do interaktywnego, zdalnego wykonywania poleceń w sesji ofiary.
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
Ori Lahav i Dan Avraham z Rubrik Zero Labs przedstawili na Black Hat USA 2026 ChatMate — pierwszy udokumentowany przypadek ucieczki z piaskownicy Microsoft 365 Copilot.
Łańcuch wykorzystywał pojedynczy złośliwy dokument i prowadził od prompt injection do interaktywnego, zdalnego wykonywania poleceń w sesji ofiary.
Podstawowa luka, CVE 2026 32193, otrzymała ocenę CVSS 8,8, a Microsoft wypłacił za jej zgłoszenie 48 tys.
Przypadek ChatMate pokazuje, że treści przetwarzane przez asystentów AI powinny być traktowane jako nowy kanał wykonania ataku, a nie wyłącznie jako dane wejściowe.
What novel exploit chain did Rubrik Zero Labs researchers present at Black Hat USA 2026 regarding Microsoft Copilot, how did the attack workAn AI-generated illustration representing the ChatMate exploit chain that targets Microsoft 365 Copilot. The attack begins with a single malicious document and culminates in a full sandbox escape.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What novel exploit chain did Rubrik Zero Labs researchers present at Black Hat USA 2026 regarding Microsoft Copilot, how did the attack work. Article summary: Here are the key findings based on reports from Black Hat USA 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
ChatMate: od złośliwego pliku do przejęcia sesji Copilota
Na konferencji Black Hat USA 2026 badacze Ori Lahav i Dan Avraham z Rubrik Zero Labs zaprezentowali łańcuch exploitów nazwany ChatMate. Według przedstawionych ustaleń był to pierwszy udokumentowany przypadek wydostania się z piaskownicy Microsoft 365 Copilot — odizolowanego środowiska, które ma ograniczać skutki działania asystenta AI .
Badacze opisali przy tym nową klasę zagrożeń: Remote Prompt Execution (RPE), czyli zdalne wykonywanie poleceń za pośrednictwem sesji asystenta . W praktyce problem nie kończył się na nakłonieniu modelu do udzielenia niepożądanej odpowiedzi. Łańcuch prowadził do trwałego, dwukierunkowego i interaktywnego dostępu do sesji ofiary .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ChatMate pokazał, że dokument może przejąć AI-asystenta"?
Ori Lahav i Dan Avraham z Rubrik Zero Labs przedstawili na Black Hat USA 2026 ChatMate — pierwszy udokumentowany przypadek ucieczki z piaskownicy Microsoft 365 Copilot.
What are the key points to validate first?
Ori Lahav i Dan Avraham z Rubrik Zero Labs przedstawili na Black Hat USA 2026 ChatMate — pierwszy udokumentowany przypadek ucieczki z piaskownicy Microsoft 365 Copilot. Łańcuch wykorzystywał pojedynczy złośliwy dokument i prowadził od prompt injection do interaktywnego, zdalnego wykonywania poleceń w sesji ofiary.
What should I do next in practice?
Podstawowa luka, CVE 2026 32193, otrzymała ocenę CVSS 8,8, a Microsoft wypłacił za jej zgłoszenie 48 tys.
Atak miał pięć etapów i mógł rozpocząć się od przesłania jednego spreparowanego dokumentu Word. Dodatkowa interakcja użytkownika nie była wymagana .
Prompt injection. Pracownik przesyła dokument albo prosi Microsoft 365 Copilot o jego analizę. Plik zawiera ukryte, złośliwe instrukcje .
Utrzymanie się w piaskownicy. Wstrzyknięty prompt przechodzi przez mechanizmy oczyszczania danych wejściowych i pozwala atakującemu utrzymać punkt zaczepienia w piaskownicy Copilota .
Ucieczka z piaskownicy. Wykorzystanie błędu pozwala opuścić odizolowane środowisko kontenera. Był to pierwszy publicznie opisany przypadek takiej ucieczki z piaskownicy Copilota . Raporty wskazują na błąd path traversal — niewłaściwe przetwarzanie ścieżek — w dynamicznych sesjach Azure Container Apps; w części opisów jako powiązane środowisko pojawia się Azure Kubernetes Service .
Ruch lateralny. Po uzyskaniu dostępu do hosta napastnik może przemieszczać się w infrastrukturze backendowej Azure .
Remote Prompt Execution. Końcowym rezultatem jest trwały, dwukierunkowy kanał interakcji z asystentem ofiary, który w praktyce umożliwia zdalne wykonywanie dowolnego kodu na jej maszynie . Joe Hladik, szef Rubrik Zero Labs, opisał ten efekt jako „interaktywny dostęp do asystentów AI”, dający atakującym „możliwość uruchamiania dowolnego kodu na maszynie ofiary” .
Ori Lahav wymienił na LinkedIn kolejne elementy łańcucha: prompt injection, eskalację uprawnień, path traversal, wstrzyknięcie do pliku .toml oraz exploit LD_PRELOAD.
CVE-2026-32193, ocena 8,8 i nagroda 48 tys. dolarów
W łańcuchu ChatMate wykorzystano między innymi lukę CVE-2026-32193, opisywaną jako problem path traversal w Azure Kubernetes Service, który umożliwiał autoryzowanemu napastnikowi lokalne wykonanie kodu . Luka otrzymała ocenę CVSS 8,8, czyli wysoki poziom zagrożenia .
Microsoft wypłacił za zgłoszenie 48 tys. dolarów. Kwotę tę Ori Lahav potwierdził publicznie na LinkedIn .
Rubrik poinformował Microsoft o problemie w lutym 2026 roku w ramach odpowiedzialnego ujawniania. Według dostępnych relacji firma usunęła lukę do połowy marca . Ponieważ poprawka została wdrożona po stronie serwerowej, klienci Microsoft 365 Copilot nie musieli instalować osobnego uaktualnienia .
ChatMate był częścią większej fali odkryć
Black Hat USA 2026 przyniósł także inne przykłady tego, jak atakujący mogą wykorzystywać asystentów, agentów i infrastrukturę AI:
PleaseFix firmy Zenity Labs. Badacze pokazali bezklikowe łańcuchy ataków dotyczące Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas i Copilot Edge. Scenariusze obejmowały kradzież danych i poświadczeń, przejęcie kont oraz zdalne sterowanie urządzeniem .
AgentForger w ChatGPT. Jeden złośliwy link mógł przejąć funkcję Agent Builder w ChatGPT i utworzyć w koncie ofiary agenta kontrolowanego przez napastnika. Agent wykorzystywał uprawnienia pracownika oraz połączone aplikacje .
Złośliwe „umiejętności” agentów. Zenity Labs wykryło kampanię w publicznym repozytorium skills.sh firmy Vercel. Atakujący tworzyli podszywające się pod oryginalne dodatki wersje, które kradły dane uwierzytelniające. Rodzina tych narzędzi odnotowała ponad 1,7 mln instalacji łącznie — nie oznacza to 1,7 mln unikalnych użytkowników .
Przejęte backendy AI. Honeypoty Zenity Labs wykryły napastników wykorzystujących niezabezpieczone instancje Ollama i LiteLLM do uruchamiania autonomicznych narzędzi do testów penetracyjnych przeciwko podmiotom trzecim .
Co to oznacza dla firm wdrażających AI?
Ucieczka z piaskownicy przestała być wyłącznie teoretycznym scenariuszem. Każda organizacja, która pozwala asystentowi AI analizować dokumenty, musi uwzględnić ten typ powierzchni ataku .
Pojedynczy dokument może stać się wektorem początkowego dostępu. W opisanym scenariuszu nie były potrzebne dodatkowe kliknięcia, makra ani świadome wykonanie polecenia przez pracownika . Oznacza to, że klasyczne zabezpieczenia poczty i plików powinny analizować także to, co dzieje się z treścią po przekazaniu jej agentowi AI.
Prompt injection może prowadzić znacznie dalej niż do wycieku danych. Klasa RPE pokazuje, że połączenie manipulacji instrukcjami z podatnościami infrastruktury może skutkować przejęciem hosta . Zespoły bezpieczeństwa powinny więc myśleć nie tylko o zapobieganiu, lecz także o „odporności agentowej” — wykrywaniu szkodliwych działań i możliwości ich cofnięcia .
Łańcuch dostaw oprogramowania AI jest aktywnie atakowany. Publiczne rejestry umiejętności agentów zaczynają przypominać sklepy z aplikacjami: oferują wygodę, ale wymagają weryfikacji pochodzenia, uprawnień i zachowania dodatków. Kampania obejmująca ponad 1,7 mln zbiorczych instalacji pokazuje skalę tego problemu .
Dodatkowym utrudnieniem jest ograniczona widoczność. Według Rubrik Zero Labs pełny obraz wykorzystywanych agentów AI ma zaledwie 23% organizacji, co może znacząco utrudniać wykrycie podobnego przejęcia .
letsdatascience.com
Rubrik Researchers Detail Microsoft Copilot Sandbox Escape
Atak miał pięć etapów i mógł rozpocząć się od przesłania jednego spreparowanego dokumentu Word. Dodatkowa interakcja użytkownika nie była wymagana .
Prompt injection. Pracownik przesyła dokument albo prosi Microsoft 365 Copilot o jego analizę. Plik zawiera ukryte, złośliwe instrukcje .
Utrzymanie się w piaskownicy. Wstrzyknięty prompt przechodzi przez mechanizmy oczyszczania danych wejściowych i pozwala atakującemu utrzymać punkt zaczepienia w piaskownicy Copilota .
Ucieczka z piaskownicy. Wykorzystanie błędu pozwala opuścić odizolowane środowisko kontenera. Był to pierwszy publicznie opisany przypadek takiej ucieczki z piaskownicy Copilota . Raporty wskazują na błąd path traversal — niewłaściwe przetwarzanie ścieżek — w dynamicznych sesjach Azure Container Apps; w części opisów jako powiązane środowisko pojawia się Azure Kubernetes Service .
Ruch lateralny. Po uzyskaniu dostępu do hosta napastnik może przemieszczać się w infrastrukturze backendowej Azure .
Remote Prompt Execution. Końcowym rezultatem jest trwały, dwukierunkowy kanał interakcji z asystentem ofiary, który w praktyce umożliwia zdalne wykonywanie dowolnego kodu na jej maszynie . Joe Hladik, szef Rubrik Zero Labs, opisał ten efekt jako „interaktywny dostęp do asystentów AI”, dający atakującym „możliwość uruchamiania dowolnego kodu na maszynie ofiary” .
Ori Lahav wymienił na LinkedIn kolejne elementy łańcucha: prompt injection, eskalację uprawnień, path traversal, wstrzyknięcie do pliku .toml oraz exploit LD_PRELOAD.
CVE-2026-32193, ocena 8,8 i nagroda 48 tys. dolarów
W łańcuchu ChatMate wykorzystano między innymi lukę CVE-2026-32193, opisywaną jako problem path traversal w Azure Kubernetes Service, który umożliwiał autoryzowanemu napastnikowi lokalne wykonanie kodu . Luka otrzymała ocenę CVSS 8,8, czyli wysoki poziom zagrożenia .
Microsoft wypłacił za zgłoszenie 48 tys. dolarów. Kwotę tę Ori Lahav potwierdził publicznie na LinkedIn .
Rubrik poinformował Microsoft o problemie w lutym 2026 roku w ramach odpowiedzialnego ujawniania. Według dostępnych relacji firma usunęła lukę do połowy marca . Ponieważ poprawka została wdrożona po stronie serwerowej, klienci Microsoft 365 Copilot nie musieli instalować osobnego uaktualnienia .
ChatMate był częścią większej fali odkryć
Black Hat USA 2026 przyniósł także inne przykłady tego, jak atakujący mogą wykorzystywać asystentów, agentów i infrastrukturę AI:
PleaseFix firmy Zenity Labs. Badacze pokazali bezklikowe łańcuchy ataków dotyczące Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas i Copilot Edge. Scenariusze obejmowały kradzież danych i poświadczeń, przejęcie kont oraz zdalne sterowanie urządzeniem .
AgentForger w ChatGPT. Jeden złośliwy link mógł przejąć funkcję Agent Builder w ChatGPT i utworzyć w koncie ofiary agenta kontrolowanego przez napastnika. Agent wykorzystywał uprawnienia pracownika oraz połączone aplikacje .
Złośliwe „umiejętności” agentów. Zenity Labs wykryło kampanię w publicznym repozytorium skills.sh firmy Vercel. Atakujący tworzyli podszywające się pod oryginalne dodatki wersje, które kradły dane uwierzytelniające. Rodzina tych narzędzi odnotowała ponad 1,7 mln instalacji łącznie — nie oznacza to 1,7 mln unikalnych użytkowników .
Przejęte backendy AI. Honeypoty Zenity Labs wykryły napastników wykorzystujących niezabezpieczone instancje Ollama i LiteLLM do uruchamiania autonomicznych narzędzi do testów penetracyjnych przeciwko podmiotom trzecim .
Co to oznacza dla firm wdrażających AI?
Ucieczka z piaskownicy przestała być wyłącznie teoretycznym scenariuszem. Każda organizacja, która pozwala asystentowi AI analizować dokumenty, musi uwzględnić ten typ powierzchni ataku .
Pojedynczy dokument może stać się wektorem początkowego dostępu. W opisanym scenariuszu nie były potrzebne dodatkowe kliknięcia, makra ani świadome wykonanie polecenia przez pracownika . Oznacza to, że klasyczne zabezpieczenia poczty i plików powinny analizować także to, co dzieje się z treścią po przekazaniu jej agentowi AI.
Prompt injection może prowadzić znacznie dalej niż do wycieku danych. Klasa RPE pokazuje, że połączenie manipulacji instrukcjami z podatnościami infrastruktury może skutkować przejęciem hosta . Zespoły bezpieczeństwa powinny więc myśleć nie tylko o zapobieganiu, lecz także o „odporności agentowej” — wykrywaniu szkodliwych działań i możliwości ich cofnięcia .
Łańcuch dostaw oprogramowania AI jest aktywnie atakowany. Publiczne rejestry umiejętności agentów zaczynają przypominać sklepy z aplikacjami: oferują wygodę, ale wymagają weryfikacji pochodzenia, uprawnień i zachowania dodatków. Kampania obejmująca ponad 1,7 mln zbiorczych instalacji pokazuje skalę tego problemu .
Dodatkowym utrudnieniem jest ograniczona widoczność. Według Rubrik Zero Labs pełny obraz wykorzystywanych agentów AI ma zaledwie 23% organizacji, co może znacząco utrudniać wykrycie podobnego przejęcia .
letsdatascience.com
Rubrik Researchers Detail Microsoft Copilot Sandbox Escape
