Lỗ hổng 'ChatMate' phá vỡ hộp cát Microsoft Copilot: Doanh nghiệp cần biết gì?

Cách thức hoạt động của ChatMate: Năm giai đoạn dẫn đến toàn quyền kiểm soát

Chuỗi tấn công ChatMate biến một tài liệu Word độc hại duy nhất thành việc chiếm quyền điều khiển hoàn toàn máy tính nạn nhân mà không cần bất kỳ tương tác nào thêm :

1. Giai đoạn 1 — Prompt Injection (Tiêm nhiễm câu lệnh): Một nhân viên tải lên hoặc yêu cầu Microsoft 365 Copilot xử lý một tài liệu Word có chứa các hướng dẫn ẩn độc hại .
2. Giai đoạn 2 — Duy trì trong hộp cát (Sandbox Persistence): Câu lệnh đã được tiêm nhiễm vượt qua quá trình kiểm tra đầu vào của dịch vụ và thiết lập một chỗ đứng bên trong hộp cát AI của Copilot .
3. Giai đoạn 3 — Thoát khỏi hộp cát (Sandbox Escape): Cuộc tấn công phá vỡ môi trường container biệt lập của Copilot — đây là lần đầu tiên kiểu tấn công này được ghi nhận . Việc thoát khỏi hộp cát đã khai thác một lỗ hổng path traversal trong Azure Container Apps dynamic sessions (hoặc Azure Kubernetes Service, tùy theo báo cáo) .
4. Giai đoạn 4 — Di chuyển ngang (Lateral Movement): Sau khi chiếm được máy chủ, kẻ tấn công di chuyển qua cơ sở hạ tầng Azure backend .
5. Giai đoạn 5 — Remote Prompt Execution (RPE): Kẻ tấn công đạt được khả năng truy cập hai chiều, tương tác, liên tục vào máy nạn nhân — về cơ bản là chạy mã tùy ý từ xa . Joe Hladik, người đứng đầu Rubrik Zero Labs, mô tả đây là 'khả năng truy cập tương tác vào trợ lý AI' cho phép kẻ tấn công 'chạy mã tùy ý trên máy nạn nhân' .

Nhà nghiên cứu Ori Lahav đã mô tả chi tiết các bước kỹ thuật trên LinkedIn: 'Chuỗi khai thác bao gồm: 🔓 Prompt Injection 🔓 Privilege Escalation 🔓 Path Traversal 🔓 .toml Injection 🔓 và cuối cùng là LD_PRELOAD Exploit' .

Mã lỗ hổng, điểm CVSS và tiền thưởng

• CVE-2026-32193 — lỗ hổng path traversal trong Azure Kubernetes Service cho phép thoát khỏi hộp cát .
• Điểm CVSS: 8.8 (Mức độ nghiêm trọng Cao) .
• Tiền thưởng lỗi: 48.000 USD từ Microsoft . Nhà nghiên cứu Ori Lahav đã xác nhận số tiền này công khai trên LinkedIn .

Microsoft đã vá lỗ hổng này vào giữa tháng 3 năm 2026 sau khi Rubrik báo cáo có trách nhiệm vào tháng 2 . Đáng chú ý, khách hàng của Microsoft 365 Copilot không cần tự triển khai bản vá mới vì bản sửa lỗi được thực hiện ở phía máy chủ .

Các sự cố bảo mật AI khác tại Black Hat USA 2026

Việc tiết lộ ChatMate là một phần trong làn sóng các phát hiện bảo mật AI liên quan tại cùng hội nghị:

• Zenity Labs — Chuỗi tấn công zero-click 'PleaseFix': Trình diễn các chuỗi khai thác trên Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas và Copilot Edge. Các cuộc tấn công này cho phép đánh cắp dữ liệu, đánh cắp thông tin đăng nhập, chiếm đoạt tài khoản và điều khiển thiết bị từ xa một cách âm thầm .
• Zenity Labs — 'AgentForger' (ChatGPT): Một lỗ hổng nghiêm trọng cho phép một liên kết độc hại duy nhất có thể chiếm quyền điều khiển ChatGPT Agent Builder của OpenAI để tạo ra một AI agent do kẻ tấn công kiểm soát, hoạt động với quyền truy cập của nhân viên nạn nhân .
• Tấn công chuỗi cung ứng kỹ năng AI giả mạo: Zenity Labs đã phát hiện một chiến dịch đánh cắp thông tin đăng nhập trên sàn đăng ký skills.sh của Vercel, nơi các kỹ năng AI agent bị giả mạo (typosquatting) đã đạt tổng cộng hơn 1,7 triệu lượt cài đặt để triển khai phần mềm đánh cắp thông tin đăng nhập .
• Cơ sở hạ tầng AI bị lộ lọt bị vũ khí hóa: Hệ thống honeypot của Zenity Labs đã bắt được những kẻ tấn công chiếm đoạt các phiên bản Ollama và LiteLLM bị lộ để chạy các công cụ kiểm tra thâm nhập tự động nhắm vào các bên thứ ba .

Ý nghĩa đối với việc áp dụng trợ lý AI trong doanh nghiệp

• Thoát khỏi hộp cát không còn là rủi ro lý thuyết, mà là thực tế đã được chứng minh. Bất kỳ doanh nghiệp nào triển khai trợ lý AI có khả năng xử lý tài liệu đều phải đối mặt với bề mặt tấn công này .
• Một tài liệu tải lên duy nhất có thể là vector xâm nhập khả thi — không cần nhấp vào liên kết lừa đảo, không cần macro, không cần tương tác thêm từ người dùng . Các biện pháp kiểm soát bảo mật email và tệp tin truyền thống cần coi nội dung được AI xử lý như một kênh thực thi mã.
• Lớp lỗ hổng 'Remote Prompt Execution' cho thấy prompt injection không chỉ là mối lo ngại về rò rỉ dữ liệu; nó có thể leo thang thành việc chiếm quyền điều khiển hoàn toàn máy tính thông qua các chuỗi khai thác . Các đội ngũ bảo mật phải tư duy theo hướng 'khả năng phục hồi của agent' — bao gồm khả năng phát hiện và hoàn tác các hành động phá hoại của AI agent — thay vì chỉ tập trung vào phòng ngừa .
• Chuỗi cung ứng phần mềm AI đang bị tấn công tích cực — chiến dịch đánh cắp thông tin đăng nhập với 1,7 triệu lượt cài đặt và các kỹ năng giả mạo (typosquatting) cho thấy các sàn đăng ký kỹ năng agent là các 'cửa hàng ứng dụng' mới, với những thách thức tương tự về độ tin cậy và xác minh .
• Rubrik Zero Labs phát hiện chỉ 23% tổ chức có khả năng hiển thị đầy đủ về các AI agent của họ, khiến việc phát hiện các hành vi xâm phạm kiểu này cực kỳ khó khăn trong thời điểm hiện tại .