ChatMate 漏洞鏈：Rubrik Zero Labs 在黑帽大會首次突破 Microsoft Copilot 沙箱

ChatMate 如何運作：五階段達成完全控制

ChatMate 漏洞鏈能將一個惡意文件的上傳，轉化為對主機的完全控制，過程中完全不需要使用者進行任何額外操作 ：

1. 第一階段 — 提示注入：當員工上傳或向 Microsoft 365 Copilot 詢問一個含有隱藏惡意指令的 Word 文件時，攻擊便開始了 。
2. 第二階段 — 沙箱持久化：注入的惡意提示成功繞過服務的輸入清理機制，在 Copilot 的 AI 沙箱內建立了一個立足點 。
3. 第三階段 — 沙箱逃逸：利用漏洞突破 Copilot 隔離的容器環境，這是此類逃逸的首次公開紀錄 。此逃逸利用了 Azure Kubernetes Service（或稱 Azure Container Apps 動態工作階段）中的路徑遍歷（Path Traversal）漏洞 。
4. 第四階段 — 橫向移動：攻擊者在取得主機控制權後，開始在 Azure 後端基礎設施中橫向移動 。
5. 第五階段 — 遠端提示執行（RPE）：攻擊者最終獲得對受害者機器的持久、雙向、互動式存取，等同於遠端執行任意程式碼 。Rubrik Zero Labs 負責人 Joe Hladik 形容這為「對 AI 助理的互動式存取」，讓攻擊者「能在受害者機器上執行任意程式碼」。

研究員 Ori Lahav 在 LinkedIn 上詳細說明了技術步驟：「漏洞鏈包含：🔓 提示注入 🔓 權限提升 🔓 路徑遍歷 🔓 .toml 注入 🔓 最後是 LD_PRELOAD 漏洞利用」。

漏洞編號、CVSS 評分與獎金

• CVE-2026-32193 — 這是造成沙箱逃逸的底層 Azure Kubernetes Service 路徑遍歷漏洞 。
• CVSS 評分為 8.8（高嚴重性）。
• 漏洞獎金：48,000 美元，由 Microsoft 支付 。研究員 Ori Lahav 在 LinkedIn 上公開確認了此金額 。

Rubrik 在 2026 年 2 月遵循負責任揭露流程通報後，Microsoft 已於 2026 年 3 月中旬完成修補 。值得注意的是，Microsoft 365 Copilot 的客戶無需自行部署任何修補程式，因為修復是直接在伺服器端完成的 。

Black Hat USA 2026 其他 AI 安全事件

ChatMate 的揭露只是本次大會一系列 AI 安全研究的一部分：

• Zenity Labs — 「PleaseFix」零點擊攻擊鏈：展示了橫跨 Claude in Chrome、Gemini in Chrome、Perplexity Comet、ChatGPT Atlas 及 Copilot Edge 的漏洞鏈，可達到無聲資料竊取、憑證竊取、帳戶接管及遠端裝置控制 。
• Zenity Labs — 「AgentForger」 (ChatGPT)：一個嚴重漏洞，單一惡意連結即可劫持 OpenAI 的 ChatGPT Agent Builder，在受害者帳戶內建立由攻擊者控制的 AI 代理人，並繼承該員工的憑證與已連線應用程式 。
• AI 技能供應鏈攻擊：Zenity Labs 在 Vercel 的 skills.sh 平台上發現一個憑證竊取活動，攻擊者透過「域名搶註」手法偽裝的 AI 代理技能，累積了超過 170 萬次安裝，用以部署憑證竊取器 。
• 暴露的 AI 後端被武器化：Zenity Labs 的蜜罐網路捕獲到，攻擊者劫持了暴露在外的 Ollama 和 LiteLLM 實例，用來對第三方執行自動化的滲透測試工具 。

這對企業採用 AI 助理的意義

• 沙箱逃逸從理論風險變成了已驗證的現實。任何部署具備文件處理能力 AI 助理的企業，都將繼承此攻擊面 。
• 單一文件上傳成為了有效的初始入侵途徑——無需釣魚點擊、無需啟用巨集、無需任何使用者互動 。傳統的郵件與檔案安全控管機制，現在必須將經過 AI 處理的內容視為一個執行通道。
• 「遠端提示執行」 這個新漏洞類別顯示，提示注入不僅僅是資料外洩的風險，它可以透過鏈結利用，升級為完整的主機淪陷 。安全團隊的思維必須轉向「代理韌性」，包含偵測與復原 AI 代理破壞性行為的能力，而非僅止於預防 。
• AI 軟體供應鏈正遭受積極攻擊——170 萬次安裝的憑證竊取活動與偽冒技能顯示，代理技能註冊平台已成為新的應用程式商店，面臨著同樣的信賴與驗證挑戰 。
• Rubrik Zero Labs 發現，僅有 23% 的組織擁有對其 AI 代理的完整可視性，這使得今天要偵測這類入侵變得極其困難 。