Så fungerade ChatMate

Attacken kunde enligt presentationen börja med en enda skadlig dokumentuppladdning och kräva ingen ytterligare åtgärd från användaren . Kedjan bestod av fem steg:

1. Promptinjektion: En anställd laddar upp eller ber Microsoft 365 Copilot analysera ett Word-dokument med dolda, fientliga instruktioner .
2. Fäste i sandlådan: Instruktionerna tar sig förbi tjänstens filtrering och påverkar Copilots beteende inne i den isolerade AI-miljön .
3. Utträde ur sandlådan: Angriparen bryter sig ut ur den avskilda container-miljön – den första dokumenterade attacken av detta slag mot Copilot . Rapporterna kopplar steget till en sökvägssårbarhet i Azure Container Apps dynamiska sessioner respektive Azure Kubernetes Service .
4. Förflyttning i infrastrukturen: Efter att ha nått värdmiljön kan angriparen röra sig vidare i Azure-backendens infrastruktur .
5. Remote Prompt Execution: Angriparen får interaktiv och bestående åtkomst till offrets AI-assistent och kan i praktiken köra godtyckliga instruktioner på distans .

Rubrik Zero Labs-chefen Joe Hladik beskrev resultatet som ”interaktiv åtkomst till AI-assistenter” och sade att det gav angriparen möjlighet att köra godtycklig kod på offrets dator .

På LinkedIn sammanfattade Ori Lahav den tekniska kedjan som promptinjektion, privilegieeskalering, sökvägshantering, en .toml-injektion och slutligen en LD_PRELOAD-attack .

CVE-2026-32193 och Microsofts belöning

Den underliggande sårbarheten identifierades som CVE-2026-32193, en sökvägssårbarhet i Azure Kubernetes Service som möjliggjorde utträdet ur sandlådan . Den hade ett CVSS-värde på 8,8, vilket motsvarar hög allvarlighetsgrad .

Microsoft betalade 48 000 dollar i bug bounty till forskarna . Ori Lahav bekräftade själv beloppet offentligt .

Rubrik uppger att sårbarheten upptäcktes i februari och att Microsoft åtgärdade den genom ansvarsfull rapportering till företaget. Enligt uppgifterna fanns en serverbaserad korrigering på plats i mitten av mars 2026 . Microsoft 365 Copilot-kunder behövde därför inte installera någon separat klientpatch; åtgärden gjordes på Microsofts serversida .

Black Hat visade en bredare AI-risk

ChatMate var en del av en större våg av AI-säkerhetsfynd vid konferensen. Bland de andra fallen fanns:

• PleaseFix: Zenity Labs demonstrerade så kallade zero-click-attackkedjor mot Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas och Copilot Edge. Angreppen kunde leda till tyst datastöld, stulna inloggningsuppgifter, kontoövertagande och fjärrstyrning av enheter .
• AgentForger: En enda skadlig länk kunde enligt Zenity Labs kapa OpenAI:s ChatGPT Agent Builder och skapa en angriparkontrollerad AI-agent i offrets konto. Agenten kunde använda den anställdes egna behörigheter och anslutna appar .
• Förgiftade AI-färdigheter: På Vercels offentliga register skills.sh hittade Zenity Labs en kampanj där namnliknande kopior av legitima AI-agentfärdigheter användes för att sprida lösenordsstjälande kod. Den berörda familjen samlade över 1,7 miljoner installationer totalt, vilket inte betyder lika många unika användare .
• Kapade AI-bakdelar: I honeypots såg Zenity Labs angripare ta över exponerade Ollama- och LiteLLM-instanser för att utan kostnad köra autonoma verktyg mot tredje part .

Vad betyder detta för företag som använder AI-assistenter?

Den mest omedelbara lärdomen är att en sandlådeflykt inte längre bara är ett teoretiskt scenario. Företag som låter AI-assistenter läsa och bearbeta dokument får därmed också en ny angreppsyta .

Ett dokument som passerar genom en AI-tjänst måste i vissa situationer betraktas som mer än passivt innehåll. ChatMate visar hur det kan fungera som den första länken i en kedja mot en autentiserad Copilot-session – utan makron, phishingklick eller ytterligare användarinteraktion . Traditionella e-post- och filskydd behöver därför kompletteras med kontroller för innehåll som tolkas och vidarebefordras av AI-agenter.

Fynden förändrar också bilden av promptinjektion. Problemet handlar inte enbart om informationsläckor eller felaktiga svar; genom flera kombinerade sårbarheter kan det i värsta fall utvecklas till kompromettering av värdmiljön . Säkerhetsteam behöver därför arbeta med agentisk motståndskraft – bland annat möjlighet att upptäcka, begränsa och återställa destruktiva agentåtgärder – i stället för att enbart försöka förebygga varje incident .

Samtidigt växer en ny leveranskedjerisk fram. AI-agenters ”skills” och tillägg fungerar allt mer som appbutiker, men med liknande problem kring identitet, granskning och förtroende. Kampanjen med 1,7 miljoner samlade installationer visar hur snabbt ett sådant ekosystem kan bli attraktivt för angripare .

Rubrik Zero Labs har dessutom uppgett att bara 23 procent av organisationerna har full insyn i sina AI-agenter . Det gör det svårt att upptäcka när en assistent börjar agera utanför sitt avsedda uppdrag – och ännu svårare att förstå hur långt en angripare har tagit sig.

Så fungerade ChatMate

Attacken kunde enligt presentationen börja med en enda skadlig dokumentuppladdning och kräva ingen ytterligare åtgärd från användaren . Kedjan bestod av fem steg:

1. Promptinjektion: En anställd laddar upp eller ber Microsoft 365 Copilot analysera ett Word-dokument med dolda, fientliga instruktioner .
2. Fäste i sandlådan: Instruktionerna tar sig förbi tjänstens filtrering och påverkar Copilots beteende inne i den isolerade AI-miljön .
3. Utträde ur sandlådan: Angriparen bryter sig ut ur den avskilda container-miljön – den första dokumenterade attacken av detta slag mot Copilot . Rapporterna kopplar steget till en sökvägssårbarhet i Azure Container Apps dynamiska sessioner respektive Azure Kubernetes Service .
4. Förflyttning i infrastrukturen: Efter att ha nått värdmiljön kan angriparen röra sig vidare i Azure-backendens infrastruktur .
5. Remote Prompt Execution: Angriparen får interaktiv och bestående åtkomst till offrets AI-assistent och kan i praktiken köra godtyckliga instruktioner på distans .

Rubrik Zero Labs-chefen Joe Hladik beskrev resultatet som ”interaktiv åtkomst till AI-assistenter” och sade att det gav angriparen möjlighet att köra godtycklig kod på offrets dator .

På LinkedIn sammanfattade Ori Lahav den tekniska kedjan som promptinjektion, privilegieeskalering, sökvägshantering, en .toml-injektion och slutligen en LD_PRELOAD-attack .

CVE-2026-32193 och Microsofts belöning

Den underliggande sårbarheten identifierades som CVE-2026-32193, en sökvägssårbarhet i Azure Kubernetes Service som möjliggjorde utträdet ur sandlådan . Den hade ett CVSS-värde på 8,8, vilket motsvarar hög allvarlighetsgrad .

Microsoft betalade 48 000 dollar i bug bounty till forskarna . Ori Lahav bekräftade själv beloppet offentligt .

Rubrik uppger att sårbarheten upptäcktes i februari och att Microsoft åtgärdade den genom ansvarsfull rapportering till företaget. Enligt uppgifterna fanns en serverbaserad korrigering på plats i mitten av mars 2026 . Microsoft 365 Copilot-kunder behövde därför inte installera någon separat klientpatch; åtgärden gjordes på Microsofts serversida .

Black Hat visade en bredare AI-risk

ChatMate var en del av en större våg av AI-säkerhetsfynd vid konferensen. Bland de andra fallen fanns:

• PleaseFix: Zenity Labs demonstrerade så kallade zero-click-attackkedjor mot Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas och Copilot Edge. Angreppen kunde leda till tyst datastöld, stulna inloggningsuppgifter, kontoövertagande och fjärrstyrning av enheter .
• AgentForger: En enda skadlig länk kunde enligt Zenity Labs kapa OpenAI:s ChatGPT Agent Builder och skapa en angriparkontrollerad AI-agent i offrets konto. Agenten kunde använda den anställdes egna behörigheter och anslutna appar .
• Förgiftade AI-färdigheter: På Vercels offentliga register skills.sh hittade Zenity Labs en kampanj där namnliknande kopior av legitima AI-agentfärdigheter användes för att sprida lösenordsstjälande kod. Den berörda familjen samlade över 1,7 miljoner installationer totalt, vilket inte betyder lika många unika användare .
• Kapade AI-bakdelar: I honeypots såg Zenity Labs angripare ta över exponerade Ollama- och LiteLLM-instanser för att utan kostnad köra autonoma verktyg mot tredje part .

Vad betyder detta för företag som använder AI-assistenter?

Den mest omedelbara lärdomen är att en sandlådeflykt inte längre bara är ett teoretiskt scenario. Företag som låter AI-assistenter läsa och bearbeta dokument får därmed också en ny angreppsyta .

Ett dokument som passerar genom en AI-tjänst måste i vissa situationer betraktas som mer än passivt innehåll. ChatMate visar hur det kan fungera som den första länken i en kedja mot en autentiserad Copilot-session – utan makron, phishingklick eller ytterligare användarinteraktion . Traditionella e-post- och filskydd behöver därför kompletteras med kontroller för innehåll som tolkas och vidarebefordras av AI-agenter.

Fynden förändrar också bilden av promptinjektion. Problemet handlar inte enbart om informationsläckor eller felaktiga svar; genom flera kombinerade sårbarheter kan det i värsta fall utvecklas till kompromettering av värdmiljön . Säkerhetsteam behöver därför arbeta med agentisk motståndskraft – bland annat möjlighet att upptäcka, begränsa och återställa destruktiva agentåtgärder – i stället för att enbart försöka förebygga varje incident .

Samtidigt växer en ny leveranskedjerisk fram. AI-agenters ”skills” och tillägg fungerar allt mer som appbutiker, men med liknande problem kring identitet, granskning och förtroende. Kampanjen med 1,7 miljoner samlade installationer visar hur snabbt ett sådant ekosystem kan bli attraktivt för angripare .

Rubrik Zero Labs har dessutom uppgett att bara 23 procent av organisationerna har full insyn i sina AI-agenter . Det gör det svårt att upptäcka när en assistent börjar agera utanför sitt avsedda uppdrag – och ännu svårare att förstå hur långt en angripare har tagit sig.