ChatMate：首个有记录的 Microsoft Copilot 沙箱逃逸攻击

ChatMate 如何运作：五阶段实现完全控制

ChatMate 攻击链将一个恶意文档上传，转化为对主机的完全控制，全程无需用户进行任何额外的交互操作 ：

1. 阶段 1 — 提示注入：员工上传或向 Microsoft 365 Copilot 询问一个内含隐藏恶意指令的 Word 文档 。
2. 阶段 2 — 沙箱驻留：注入的提示成功绕过服务的输入审查，在 Copilot 的 AI 沙箱中建立了据点 。
3. 阶段 3 — 沙箱逃逸：利用漏洞突破 Copilot 的隔离容器环境——这被视为同类逃逸中的首次记录 。该逃逸利用了 Azure Container Apps 动态会话（或 Azure Kubernetes 服务）中的路径遍历漏洞 。
4. 阶段 4 — 横向移动：一旦进入宿主机，攻击者可以在 Azure 后端基础设施中移动 。
5. 阶段 5 — 远程提示执行 (RPE)：攻击者最终获得对受害者机器的持久、双向、交互式访问，实质上能够远程执行任意代码 。Rubrik Zero Labs 负责人 Joe Hladik 将其描述为“对 AI 助手的交互式访问”，使攻击者“能够在受害者机器上运行任意代码” 。

研究员 Ori Lahav 在 LinkedIn 上详细说明了技术步骤：“该攻击链包括：🔓 提示注入 🔓 权限提升 🔓 路径遍历 🔓 .toml 注入 🔓 最后是 LD_PRELOAD 漏洞利用” 。

漏洞编号、CVSS 评分与漏洞奖金

• CVE-2026-32193 —— 导致沙箱逃逸的根本原因，是 Azure Kubernetes 服务中的一个路径遍历问题 。
• CVSS 8.8 分（高危级别） 。
• 漏洞奖金：48,000 美元，来自微软 。研究员 Ori Lahav 在 LinkedIn 上公开确认了这一金额 。

微软在 2026 年 3 月中旬 发布了补丁，此前 Rubrik 于 2 月份进行了负责任的漏洞披露 。值得注意的是，由于修复在服务器端完成，Microsoft 365 Copilot 的客户无需自己部署新的补丁 。

Black Hat USA 2026 上的其他 AI 安全事件

ChatMate 的披露只是同一会议上系列相关 AI 安全发现的一部分：

• Zenity Labs — “PleaseFix” 零点击攻击链：演示了针对 Chrome 中的 Claude 和 Gemini、Perplexity Comet、ChatGPT Atlas 以及 Copilot Edge 的漏洞利用链，可实现静默数据窃取、凭证窃取、账户接管与远程设备控制 。
• Zenity Labs — “AgentForger” (ChatGPT)：一个严重漏洞，单个恶意链接即可劫持 OpenAI 的 ChatGPT Agent Builder，在受害者账户内构建一个由攻击者控制的 AI 代理，并使用该员工自己的凭证和已连接应用 。
• 木马化的 AI 技能供应链攻击：Zenity Labs 在 Vercel 的 skills.sh 注册表上发现了一个凭证窃取活动，通过冒名顶替的 AI 代理技能（typosquatting）累计获得了超过 170 万次安装，以部署凭证窃取器 。
• AI 后端武器化：Zenity Labs 的蜜罐网络捕获到攻击者劫持暴露在外且未经认证的 Ollama 和 LiteLLM 实例，并利用它们对第三方运行自动化渗透测试工具 。

这对企业采用 AI 助手意味着什么

• 沙箱逃逸已不再是理论风险，而是被实际证明了。任何部署了具备文档处理能力的 AI 助手的企业，都继承了这一攻击面 。
• 一个文档上传就是可行的初始入侵向量——无需钓鱼点击、无需宏、无需任何用户交互 。传统的邮件和文件安全控制措施，需将经 AI 处理的内容视为一种执行通道。
• “远程提示执行”类别表明，提示注入已不仅是数据泄露问题；通过链式漏洞利用，它可以升级为对主机的完全控制 。安全团队必须考虑“代理韧性”（agentic resilience），包括检测和回滚 AI 代理破坏性行为的能力，而不仅仅是预防 。
• AI 软件供应链正遭受积极攻击——170 万次安装的凭证窃取活动和冒名顶替的技能，证明了代理技能注册表已成为新一代的应用商店，面临着类似的信任与验证挑战 。
• Rubrik Zero Labs 发现，只有 23% 的组织能够完全掌握其 AI 代理的可见性，这使得检测此类入侵在今天变得异常困难 。