Como o ChatMate funcionava

A cadeia transformava o upload de um único documento adulterado em comprometimento do host, sem exigir uma nova interação do funcionário . O fluxo apresentado foi descrito em cinco etapas:

1. Injeção de prompt: o funcionário fazia o upload de um documento do Word ou pedia ao Microsoft 365 Copilot que analisasse um arquivo contendo instruções maliciosas ocultas .
2. Persistência no sandbox: as instruções injetadas passavam pelos controles de sanitização de entrada e mantinham uma presença dentro do sandbox de IA do Copilot .
3. Escape do sandbox: a exploração rompia o isolamento do contêiner e alcançava o ambiente de host — o primeiro caso documentado desse tipo no Copilot . Os relatos associam essa etapa a uma falha de travessia de caminho (path traversal) em sessões dinâmicas do Azure Container Apps; outras descrições vinculam o problema à infraestrutura do Azure Kubernetes Service (AKS) .
4. Movimentação lateral: depois de alcançar o host, o invasor podia avançar pela infraestrutura de backend do Azure .
5. Execução remota de prompts: o resultado era um acesso persistente, interativo e bidirecional à sessão do assistente da vítima — na prática, a capacidade de executar código arbitrário remotamente no computador afetado . Joe Hladik, responsável pela Rubrik Zero Labs, descreveu o impacto como “acesso interativo a assistentes de IA”, capaz de dar ao invasor “a capacidade de executar código arbitrário na máquina da vítima” .

Em uma publicação no LinkedIn, Ori Lahav resumiu a sequência técnica como injeção de prompt, escalada de privilégios, travessia de caminho, injeção de arquivo .toml e, por fim, uma exploração de LD_PRELOAD .

CVE, gravidade e recompensa

A vulnerabilidade de infraestrutura associada à cadeia foi identificada como:

• CVE-2026-32193: falha de travessia de caminho no Azure Kubernetes Service que possibilitou o escape do sandbox .
• Pontuação CVSS de 8,8: classificação de alta gravidade .
• Recompensa de US$ 48 mil: valor pago pela Microsoft aos pesquisadores . Ori Lahav confirmou publicamente a quantia .

A Rubrik comunicou o problema à Microsoft em fevereiro de 2026, seguindo o processo de divulgação responsável. A empresa corrigiu a falha até meados de março . Como a correção foi feita no lado do servidor, clientes do Microsoft 365 Copilot não precisaram instalar um novo patch por conta própria .

Isso não significa, porém, que o risco estrutural desapareça com a correção de uma vulnerabilidade específica. A própria Rubrik destacou que técnicas de escape de sandbox capazes de alcançar o backend do Azure podem, em princípio, ser investigadas em outros copilotos e pipelines de IA .

Outros alertas de segurança apresentados na Black Hat

O ChatMate fez parte de uma série de pesquisas sobre a segurança de agentes e assistentes de IA divulgadas na mesma conferência:

• PleaseFix, da Zenity Labs: cadeias de exploração sem clique (zero-click) afetaram Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas e Copilot Edge. As demonstrações mostraram caminhos para roubo silencioso de dados e credenciais, tomada de contas e controle remoto de dispositivos .
• AgentForger, também da Zenity Labs: uma única página ou link malicioso podia sequestrar o Agent Builder do ChatGPT e criar um agente controlado pelo invasor dentro da conta da vítima. Esse agente herdava as credenciais do funcionário e o acesso a aplicativos conectados .
• Ataque à cadeia de fornecimento de “skills” de IA: extensões adulteradas e nomes falsificados por pequenas alterações (typosquatting) foram distribuídos no registro público skills.sh, da Vercel. Uma família de componentes maliciosos acumulou mais de 1,7 milhão de instalações, em contagem agregada, para distribuir ladrões de credenciais .
• Backends de IA expostos: honeypots da Zenity Labs registraram invasores sequestrando instâncias de Ollama e LiteLLM expostas e sem autenticação para executar ferramentas autônomas de testes de invasão contra terceiros .

O que muda para empresas que adotam assistentes de IA

As descobertas ampliam a discussão sobre o uso corporativo de Copilots, agentes e ferramentas que processam documentos:

• O escape de sandbox deixou de ser apenas uma hipótese. Empresas que usam assistentes de IA com acesso a arquivos passam a incorporar essa superfície de ataque .
• Um documento pode ser o vetor inicial de acesso. No cenário demonstrado, não foram necessários cliques adicionais, macros ou outras ações do usuário depois do upload . Controles tradicionais de e-mail e arquivos precisam considerar o conteúdo processado por IA como uma possível via de execução.
• Injeção de prompt não é somente um problema de vazamento. A classe Remote Prompt Execution mostra como uma injeção pode ser encadeada a falhas de privilégio e infraestrutura até alcançar o host .
• A defesa precisa incluir resiliência de agentes. Além de bloquear ataques, equipes de segurança devem conseguir identificar ações destrutivas, limitar permissões e, quando possível, reverter ou “rebobinar” operações realizadas por agentes .
• A cadeia de fornecimento de IA já está sob pressão. Registros de skills funcionam como catálogos de extensões para agentes e enfrentam desafios semelhantes aos das lojas de aplicativos: confiança, verificação e atualização segura .
• A visibilidade ainda é limitada. A Rubrik Zero Labs afirma que apenas 23% das organizações têm visibilidade completa sobre seus agentes de IA, o que dificulta detectar e investigar um comprometimento desse tipo .

O principal recado para administradores é direto: conectar um assistente a documentos, credenciais e aplicativos corporativos também conecta esses recursos ao comportamento do agente. A adoção da IA empresarial, portanto, precisa avançar junto com isolamento reforçado, controle de privilégios, monitoramento de sessões e capacidade de recuperação após ações indevidas.

Como o ChatMate funcionava

A cadeia transformava o upload de um único documento adulterado em comprometimento do host, sem exigir uma nova interação do funcionário . O fluxo apresentado foi descrito em cinco etapas:

1. Injeção de prompt: o funcionário fazia o upload de um documento do Word ou pedia ao Microsoft 365 Copilot que analisasse um arquivo contendo instruções maliciosas ocultas .
2. Persistência no sandbox: as instruções injetadas passavam pelos controles de sanitização de entrada e mantinham uma presença dentro do sandbox de IA do Copilot .
3. Escape do sandbox: a exploração rompia o isolamento do contêiner e alcançava o ambiente de host — o primeiro caso documentado desse tipo no Copilot . Os relatos associam essa etapa a uma falha de travessia de caminho (path traversal) em sessões dinâmicas do Azure Container Apps; outras descrições vinculam o problema à infraestrutura do Azure Kubernetes Service (AKS) .
4. Movimentação lateral: depois de alcançar o host, o invasor podia avançar pela infraestrutura de backend do Azure .
5. Execução remota de prompts: o resultado era um acesso persistente, interativo e bidirecional à sessão do assistente da vítima — na prática, a capacidade de executar código arbitrário remotamente no computador afetado . Joe Hladik, responsável pela Rubrik Zero Labs, descreveu o impacto como “acesso interativo a assistentes de IA”, capaz de dar ao invasor “a capacidade de executar código arbitrário na máquina da vítima” .

Em uma publicação no LinkedIn, Ori Lahav resumiu a sequência técnica como injeção de prompt, escalada de privilégios, travessia de caminho, injeção de arquivo .toml e, por fim, uma exploração de LD_PRELOAD .

CVE, gravidade e recompensa

A vulnerabilidade de infraestrutura associada à cadeia foi identificada como:

• CVE-2026-32193: falha de travessia de caminho no Azure Kubernetes Service que possibilitou o escape do sandbox .
• Pontuação CVSS de 8,8: classificação de alta gravidade .
• Recompensa de US$ 48 mil: valor pago pela Microsoft aos pesquisadores . Ori Lahav confirmou publicamente a quantia .

A Rubrik comunicou o problema à Microsoft em fevereiro de 2026, seguindo o processo de divulgação responsável. A empresa corrigiu a falha até meados de março . Como a correção foi feita no lado do servidor, clientes do Microsoft 365 Copilot não precisaram instalar um novo patch por conta própria .

Isso não significa, porém, que o risco estrutural desapareça com a correção de uma vulnerabilidade específica. A própria Rubrik destacou que técnicas de escape de sandbox capazes de alcançar o backend do Azure podem, em princípio, ser investigadas em outros copilotos e pipelines de IA .

Outros alertas de segurança apresentados na Black Hat

O ChatMate fez parte de uma série de pesquisas sobre a segurança de agentes e assistentes de IA divulgadas na mesma conferência:

• PleaseFix, da Zenity Labs: cadeias de exploração sem clique (zero-click) afetaram Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas e Copilot Edge. As demonstrações mostraram caminhos para roubo silencioso de dados e credenciais, tomada de contas e controle remoto de dispositivos .
• AgentForger, também da Zenity Labs: uma única página ou link malicioso podia sequestrar o Agent Builder do ChatGPT e criar um agente controlado pelo invasor dentro da conta da vítima. Esse agente herdava as credenciais do funcionário e o acesso a aplicativos conectados .
• Ataque à cadeia de fornecimento de “skills” de IA: extensões adulteradas e nomes falsificados por pequenas alterações (typosquatting) foram distribuídos no registro público skills.sh, da Vercel. Uma família de componentes maliciosos acumulou mais de 1,7 milhão de instalações, em contagem agregada, para distribuir ladrões de credenciais .
• Backends de IA expostos: honeypots da Zenity Labs registraram invasores sequestrando instâncias de Ollama e LiteLLM expostas e sem autenticação para executar ferramentas autônomas de testes de invasão contra terceiros .

O que muda para empresas que adotam assistentes de IA

As descobertas ampliam a discussão sobre o uso corporativo de Copilots, agentes e ferramentas que processam documentos:

• O escape de sandbox deixou de ser apenas uma hipótese. Empresas que usam assistentes de IA com acesso a arquivos passam a incorporar essa superfície de ataque .
• Um documento pode ser o vetor inicial de acesso. No cenário demonstrado, não foram necessários cliques adicionais, macros ou outras ações do usuário depois do upload . Controles tradicionais de e-mail e arquivos precisam considerar o conteúdo processado por IA como uma possível via de execução.
• Injeção de prompt não é somente um problema de vazamento. A classe Remote Prompt Execution mostra como uma injeção pode ser encadeada a falhas de privilégio e infraestrutura até alcançar o host .
• A defesa precisa incluir resiliência de agentes. Além de bloquear ataques, equipes de segurança devem conseguir identificar ações destrutivas, limitar permissões e, quando possível, reverter ou “rebobinar” operações realizadas por agentes .
• A cadeia de fornecimento de IA já está sob pressão. Registros de skills funcionam como catálogos de extensões para agentes e enfrentam desafios semelhantes aos das lojas de aplicativos: confiança, verificação e atualização segura .
• A visibilidade ainda é limitada. A Rubrik Zero Labs afirma que apenas 23% das organizações têm visibilidade completa sobre seus agentes de IA, o que dificulta detectar e investigar um comprometimento desse tipo .

O principal recado para administradores é direto: conectar um assistente a documentos, credenciais e aplicativos corporativos também conecta esses recursos ao comportamento do agente. A adoção da IA empresarial, portanto, precisa avançar junto com isolamento reforçado, controle de privilégios, monitoramento de sessões e capacidade de recuperação após ações indevidas.