ChatMate 攻擊鏈：一個 Word 文件就足以騎劫 Microsoft 365 Copilot

ChatMate 點樣運作？五個階段達致完全控制

呢個攻擊鏈可以由一個簡單嘅文件上載，變成完全控制受害者主機，期間唔需要任何使用者互動 ：

1. 第一階段 — Prompt Injection（提示注入）：員工上載或者向 Microsoft 365 Copilot 查詢一個內含隱藏惡意指示嘅 Word 檔案 。
2. 第二階段 — 沙箱持續駐留：注入嘅提示成功繞過服務嘅輸入過濾機制，喺 Copilot 嘅 AI 沙箱入面建立據點 。
3. 第三階段 — 沙箱逃脫：攻擊程式突破 Copilot 嘅隔離容器——呢個係同類攻擊嘅首次記錄 。呢個逃脫係利用 Azure Container Apps 動態工作階段（或者 Azure Kubernetes Service）嘅路徑遍歷漏洞 。
4. 第四階段 — 橫向移動：攻擊者一旦去到主機層，就可以喺 Azure 後端基礎架構入面移動 。
5. 第五階段 — Remote Prompt Execution (RPE)：攻擊者做到持續、雙向、互動式嘅存取，可以遙距控制受害者嘅電腦 。Rubrik Zero Labs 主管 Joe Hladik 形容呢個係「對 AI 助手嘅互動式存取」，令攻擊者「有能力喺受害者嘅電腦上面執行任意程式碼」。

Ori Lahav 喺 LinkedIn 詳細講解咗技術步驟：「呢個攻擊鏈包括：🔓 Prompt Injection 🔓 權限提升 🔓 路徑遍歷 🔓 .toml 注入 🔓 同最後嘅 LD_PRELOAD 漏洞」。

漏洞編號、CVSS 評分同 Bug Bounty 獎金

• CVE-2026-32193——係引發沙箱逃脫嘅 Azure Kubernetes Service 路徑遍歷漏洞 。
• CVSS 評分 8.8（高嚴重性）。
• Bug Bounty 獎金：US$48,000，由 Microsoft 頒發 。Ori Lahav 喺 LinkedIn 公開確認咗呢個金額 。

Microsoft 喺 2026 年 3 月中已經修補咗呢個漏洞，Rubrik 喺 2 月主動披露 。值得留意嘅係，Microsoft 365 Copilot 嘅客戶唔需要自己部署任何修補程式，因為修正係喺伺服器端進行 。

Black Hat USA 2026 嘅其他 AI 安全事件

同一場研討會仲有好多相關嘅 AI 安全研究發表：

• Zenity Labs — 「PleaseFix」零點擊攻擊鏈：展示咗跨平台嘅攻擊鏈，涵蓋 Claude in Chrome、Gemini in Chrome、Perplexity Comet、ChatGPT Atlas 同 Copilot Edge。呢啲攻擊可以做到竊取數據、偷取登入憑證、騎劫帳戶，甚至遙距控制裝置 。
• Zenity Labs — 「AgentForger」（ChatGPT）：一個嚴重漏洞，只要一個惡意連結就可以 hijack OpenAI 嘅 ChatGPT Agent Builder，喺受害者帳戶入面建立一個由攻擊者控制嘅 AI 代理，仲會自動用到該員工嘅登入憑證同已連接嘅應用 。
• 木馬化 AI Skills 供應鏈攻擊：Zenity Labs 喺 Vercel 嘅 skills.sh 平台發現一個偷取憑證嘅攻擊活動，透過拼寫相近嘅假 AI Skills，總共錄得超過 170 萬次安裝，用嚟部署憑證竊取程式 。
• AI 後端基礎設施被武器化：Zenity Labs 嘅蜜罐偵測到攻擊者 hijack 咗暴露喺公開網絡嘅 Ollama 同 LiteLLM 實例，用嚟對第三方執行自動化嘅滲透測試工具 。

對企業採用 AI 助手嘅啟示

• 沙箱逃脫已經由理論變為現實。任何部署咗文件處理 AI 助手嘅企業都繼承咗呢個攻擊面 。
• 一個簡單嘅文件上載已經係可行嘅入侵途徑——唔使點選釣魚連結、唔使巨集、唔使使用者互動 。傳統嘅電郵同檔案安全控制工具需要開始將 AI 處理嘅內容視為執行渠道。
• 「Remote Prompt Execution」呢個新類別顯示提示注入已經唔止係數據洩漏嘅問題，而係可以透過串連漏洞變成完全控制主機 。安全團隊需要考慮「智能代理韌性」——即係能夠偵測同回滾 AI 代理嘅破壞性行為——而唔係單靠預防 。
• AI 軟件供應鏈正受到積極攻擊——嗰次 170 萬次安裝嘅憑證竊取活動同拼寫相近嘅偽造 Skills 證明咗，AI Skills 註冊平台就係新一代嘅 App Store，同樣面對信任同驗證嘅挑戰 。
• Rubrik Zero Labs 發現只有 23% 嘅組織能夠完全掌握佢哋嘅 AI 代理，令到呢類攻擊極難被偵測 。