ChatMate: Microsoft Copilot’un güvenlik kumandası Black Hat 2026’da nasıl aşıldı?

ChatMate saldırısı beş aşamada nasıl ilerledi?

Saldırı zinciri, bir çalışanın kötü amaçlı talimatlar gizlenmiş bir belgeyi Copilot’a yüklemesiyle başlıyor. Araştırmacıların gösterimine göre süreç, ek bir kullanıcı etkileşimi gerektirmeden ilerleyebiliyor .

1. Prompt injection: Çalışan, içinde görünmeyen saldırgan talimatları bulunan bir Word belgesini yüklüyor veya Copilot’tan bu belgeyi incelemesini istiyor .
2. Sandbox içinde kalıcılık: Belgeye yerleştirilen talimatlar, hizmetin prompt injection filtrelerini aşarak Copilot’un yapay zekâ sandbox’ında etkisini sürdürüyor .
3. Sandbox’dan kaçış: Zincir, Copilot’un izole container ortamından çıkmayı sağlıyor. Bu aşamada, raporlara göre Azure Container Apps dinamik oturumlarındaki veya Azure Kubernetes Service’teki bir path traversal açığından yararlanıldı; kaynaklar altyapının adlandırılması konusunda farklılık gösteriyor .
4. Yanal hareket: Saldırgan, ana sisteme ulaştıktan sonra Azure arka uç altyapısı içinde ilerleyebiliyor .
5. Remote Prompt Execution: Son aşamada saldırgan, kurbanın Copilot oturumuna kalıcı, çift yönlü ve etkileşimli erişim elde ediyor. Rubrik Zero Labs yöneticisi Joe Hladik, bunu yapay zekâ asistanlarıyla etkileşimli erişim ve kurbanın makinesinde keyfî kod çalıştırabilme yeteneği olarak tanımladı .

Araştırmacı Ori Lahav, zincirin teknik bileşenlerini prompt injection, ayrıcalık yükseltme, path traversal, .toml enjeksiyonu ve son olarak LD_PRELOAD açığından yararlanma şeklinde sıraladı .

CVE numarası, önem derecesi ve ödül

ChatMate zincirinin sandbox’dan kaçışı mümkün kılan temel bileşeni CVE-2026-32193 olarak tanımlandı. Bu açık, Azure Kubernetes Service’teki bir path traversal zafiyeti olarak raporlandı .

• CVSS puanı: 8,8 — yüksek önem derecesi
• Microsoft’un ödediği hata ödülü: 48.000 dolar
• Düzeltme: Microsoft, Rubrik’in şubat ayındaki sorumlu bildirim sürecinin ardından açığı mart ayının ortasına kadar düzeltti .

Düzeltme sunucu tarafında yapıldığı için Microsoft 365 Copilot müşterilerinin kendi sistemlerine ayrıca yeni bir yama kurması gerekmedi . Bununla birlikte, belirli açık kapatılmış olsa da Copilot sandbox’ından Azure arka ucuna ulaşmaya dayanan genel yaklaşımın başka yapay zekâ asistanlarında da benzer riskler yaratabileceği vurgulandı .

Black Hat 2026’da öne çıkan diğer yapay zekâ güvenliği vakaları

ChatMate, konferansta açıklanan tek önemli yapay zekâ güvenliği bulgusu değildi. Aynı dönemde farklı yapay zekâ ajanlarının ve araçlarının nasıl kötüye kullanılabileceğini gösteren başka araştırmalar da paylaşıldı:

• Zenity Labs’in “PleaseFix” zincirleri: Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas ve Copilot Edge üzerinde gösterilen sıfır tıklamalı saldırı zincirleri; sessiz veri hırsızlığı, kimlik bilgisi çalma, hesap ele geçirme ve cihazın uzaktan kontrolü gibi sonuçlara yol açabiliyordu .
• “AgentForger” açığı: Zenity Labs, tek bir kötü amaçlı bağlantının OpenAI ChatGPT Agent Builder’ı kullanarak kurbanın hesabı içinde saldırganın kontrolündeki bir yapay zekâ ajanı oluşturmasına olanak sağlayan kritik bir açığı açıkladı. Ajan, çalışanın kimlik bilgileri ve bağlı uygulama izinleriyle çalışabiliyordu .
• Kötü amaçlı yapay zekâ becerileri: Vercel’in yapay zekâ ajanı eklentileri için kullanılan skills.sh kayıt deposunda, gerçek araçların adlarını taklit eden becerilerle yürütülen bir kimlik bilgisi hırsızlığı kampanyası tespit edildi. Etkilenen beceri ailesinin toplam yükleme sayısı 1,7 milyonun üzerine çıktı; bu rakamın benzersiz kullanıcı sayısını göstermediği özellikle belirtildi .
• Açıkta bırakılan yapay zekâ arka uçları: Zenity Labs’in tuzak sistemleri, kimlik doğrulaması olmayan Ollama ve LiteLLM örneklerinin saldırganlar tarafından ele geçirilerek üçüncü taraflara karşı otonom sızma testi araçlarını çalıştırmak için kullanıldığını gözlemledi .

Kurumsal yapay zekâ kullanımı açısından sonuç ne?

ChatMate’in en önemli mesajı, yapay zekâ asistanlarının işlediği belgelerin artık yalnızca pasif veri olarak değerlendirilmemesi gerektiği. Bir belge, asistanın davranışını etkileyen talimatlar taşıyabiliyor ve zincirleme açıklar kullanıldığında bir yürütme kanalı işlevi görebiliyor .

Öne çıkan sonuçlar şöyle:

• Sandbox kaçışı teorik bir senaryo olmaktan çıktı. Belgeleri analiz eden kurumsal yapay zekâ asistanları, kendi yalıtılmış çalışma ortamlarından çıkmaya yönelik saldırı yüzeyini de beraberinde getiriyor .
• Tek bir belge yüklemesi başlangıç erişimi sağlayabilir. Saldırı için kimlik avı bağlantısına tıklanması, makro etkinleştirilmesi veya ek bir kullanıcı işlemi gerekmeyebilir . Bu nedenle e-posta ve dosya güvenliği kontrollerinin, yapay zekâ tarafından işlenen içeriği potansiyel bir yürütme kanalı olarak ele alması gerekiyor.
• Prompt injection’ın etkisi veri sızıntısıyla sınırlı değil. RPE yaklaşımı, prompt manipülasyonunun ayrıcalık yükseltme ve altyapı açıklarıyla birleşerek ana sisteme kadar uzanabileceğini ortaya koyuyor .
• Savunma anlayışı “ajan dayanıklılığına” kayıyor. Kurumların yalnızca saldırıyı önlemeye değil, yapay zekâ ajanlarının şüpheli eylemlerini tespit etmeye ve gerektiğinde geri almaya da hazırlanması gerekiyor .
• Yapay zekâ yazılım tedarik zinciri hedefte. 1,7 milyonun üzerindeki toplam yükleme ve taklit isimlerle yayılan kötü amaçlı beceriler, ajan becerisi depolarının uygulama mağazalarına benzer güven ve doğrulama sorunları taşıdığını gösteriyor .
• Görünürlük hâlâ sınırlı. Rubrik Zero Labs verilerine göre kuruluşların yalnızca yüzde 23’ü yapay zekâ ajanları üzerinde tam görünürlüğe sahip. Bu durum, benzer bir ihlalin tespit edilmesini zorlaştırıyor .

ChatMate, kurumsal yapay zekâ güvenliğinde önemli bir eşiğe işaret ediyor: Asistanın yalnızca ne söylediği değil, hangi içeriği işlediği, hangi izinlerle hareket ettiği ve bu eylemlerin gerektiğinde ne kadar hızlı geri alınabildiği de güvenlik mimarisinin parçası olmak zorunda.