Ori Lahav e Dan Avraham di Rubrik Zero Labs hanno presentato a Black Hat USA 2026 la classe di vulnerabilità "Remote Prompt Execution" (RPE), dimostrando come un documento Word con testo nascosto possa trasformarsi in shell interattiva persistente su Microsoft 365 Copilot. La ricerca, pubblicata il 6 agosto 2026, non descrive un altro bug di intelligenza artificiale: ridefinisce il perimetro di sicurezza delle integrazioni enterprise AI, spostando il bersaglio dal modello linguistico all'architettura di esecuzione che lo circonda.
- Rubrik Zero Labs ha definito e dimostrato la classe di vulnerabilità "Remote Prompt Execution" (RPE) su Microsoft 365 Copilot a Black Hat USA 2026.
- La catena di exploit si sviluppa in 5 stadi: da documento Word con testo bianco-su-bianco a shell interattiva bidirezionale tramite bypass dei classificatori LLM, privilege escalation, path traversal in Azure Container Apps e sandbox escape via LD_PRELOAD.
- La vulnerabilità sottostante è CVE-2026-32193, path traversal (CWE-22) in Azure Kubernetes Service con CVSS 8.8, patchata da Microsoft nel giugno 2026 security update con bug bounty di $48.000.
- La sessione compromessa eredita identità, permessi e accesso a dati enterprise M365/Azure dell'utente: l'attaccante diventa l'utente senza necessità di escalation aggiuntiva.
Il meccanismo: cinque stadi per un'unica catena
Il vettore iniziale è banale e insidioso: un documento Word con testo nascotto in formato bianco-su-bianco, che l'utente carica in Copilot per analisi o riassunto. Il prompt injection così veicolato bypassa le guardrail di sicurezza del classificatore LLM, ottenendo esecuzione di codice nell'ambiente sandboxato dell'assistente AI.
Da qui la catena si articola in tre fasi successive di movimento laterale e privilege escalation. La quarta fase sfrutta CVE-2026-32193, vulnerabilità di path traversal nell'Azure Container Apps dynamic sessions, specificamente nel componente ACA-Session-Interpreter. Con punteggio CVSS 8.8 e classificazione CWE-22, questo difetto consente all'attaccante di uscire dal contesto di esecuzione previsto e accedere al filesystem del container.
La quinta e ultima fase impiega LD_PRELOAD per forzare l'escape dalla sandbox e raggiungere l'host sottostante. Il risultato è un canale di comando e controllo bidirezionale: l'attaccante inietta prompt nella sessione live della vittima e legge le risposte in tempo reale. Secondo la ricostruzione di forkast.news riportando i dati di Rubrik Zero Labs, "la catena è la minaccia, non qualsiasi singolo passo" isolato.
L'eredità dell'identità: perché non serve escalation
Dopo l'escape dalla sandbox, la sessione Copilot compromessa mantiene l'identità SSO dell'utente legittimo. I permessi, l'accesso ai dati enterprise in Microsoft 365 e Azure, le autorizzazioni cloud: tutto viene ereditato automaticamente. L'attaccante non deve rubare credenziali, non deve effettuare lateral movement aggiuntiva, non deve scalare privilegi.
La fonte descrive esplicitamente questo meccanismo: l'attaccante "opera come l'utente" con piena visibilità su quanto l'utente stesso può vedere e modificare. Questa caratteristica distingue RPE dalle vulnerabilità di prompt injection finora documentate: non si tratta di estrarre informazioni dal modello o di manipolare risposte, ma di trasformare l'assistente AI in un proxy di compromissione identitaria completa.
Il proof-of-concept "ChatMate", dettagliato in un blog tecnico di Kyle Fiehler su Rubrik Zero Labs datato 30 luglio 2026, dimostra la classe di tecniche senza equivalere a un exploit attivo in-the-wild. Le fonti specificano esplicitamente questo limite: ChatMate è ricerca, non operazione offensiva documentata.
Il contesto: quando la sandbox AI non basta più
La ricerca di Rubrik Zero Labs colloca CVE-2026-32193 in un quadro più amplo. L'arXiv EchoLeak (CVE-2025-32711, Aim Labs) aveva già dimostrato vulnerabilità di prompt injection su Copilot, ma con meccanismo e autori diversi: non va confuso con RPE. La novità di ChatMate sta nel dimostrare che l'architettura di esecuzione circostante — non il modello linguistico in sé — è il vero punto di rottura.
Le fonti sottolineano che sandboxed execution environments per AI assistants non sono prerogativa di Microsoft. L'implicazione è che aziende con architetture simili, che integrano assistenti AI con dati enterprise in ambienti containerizzati cloud, potrebbero presentare superfici di attacco analoghe. Il brief non specifica entità vulnerabili oltre il caso Microsoft dimostrato.
La postura difensiva: cosa sappiamo e cosa manca
Microsoft ha rilasciato la patch di CVE-2026-32193 nel giugno 2026 security update, con pagamento di $48.000 di bug bounty. Il Dossier Redazionale non documenta contromisure specifiche aggiuntive implementate dal vendor oltre a questa correzione. La fonte non specifica se Microsoft abbia modificato l'architettura di isolamento dei container ACA-Session-Interpreter, i classificatori di sicurezza LLM, o le politiche di eredità identitaria delle sessioni Copilot.
Restano non verificabili dalle fonti fornite: lo stato NVD di CVE-2026-32193, la data esatta di presentazione a Black Hat USA 2026, i dettagli tecnici completi del blog Rubrik Zero Labs, e una conferma indipendente del meccanismo LD_PRELOAD per il sandbox escape. Non emergono sovrapposizioni infrastrutturali che colleghino questa ricerca ad altri operatori o campagne offensive allo stato attuale.
"Un singolo documento avvelenato può consegnare a un attaccante una shell interattiva dentro la sessione Copilot — e l'attaccante eredita la tua identità, i tuoi dati, il tuo accesso cloud."
Perché è importante
La ricerca di Rubrik Zero Labs sposta il dibattito da "l'LLM è sicuro?" a "l'ambiente di esecuzione attorno all'LLM è sufficientemente isolato?". Per le aziende che hanno adottato o stanno adottando assistenti AI integrati con dati enterprise, RPE dimostra che il vettore più banale — un documento caricato — può trasformarsi in compromissione totale dell'identità e dell'accesso cloud. L'eredità dei permessi utente elimina la tradizionale fase di post-exploitation: l'attaccante è immediatamente l'utente, con tutto ciò che questo comporta.
La fonte non specifica la natura esatta dei dati esposti oltre la generica indicazione di "dati enterprise" in M365 e Azure. Non documenta misure correttive specifiche per gli operatori di sicurezza oltre all'applicazione della patch Microsoft. Il brief non elenca indicatori di compromissione, regole di rilevamento, o tecniche di mitigazione architetturale per ambienti con integrazioni AI simili.
L'assenza di exploit in-the-wild non riduce la rilevanza della classe di attacco: ChatMate ha dimostrato la fattibilità, e l'architettura target non è proprietaria nel suo schema generale. La domanda che le fonti lasciano aperta — e che le redazioni di sicurezza dovranno seguire — è quanto rapidamente altri ricercatori o operatori potranno adattare la stessa catena ad altri ecosistemi AI enterprise.
Fonti
- https://forkast.news/remote-prompt-execution-is-a-new-vulnerability-class-chatmate-just-showed-how-it-works-on-copilot/
- https://cryptorank.io/news/feed/2929f-remote-prompt-execution-is-a-new-vulnerability-class-chatmate-just-showed-how-it-works-on-copilot
- https://thehackernews.com/search/label/remote%20code%20execution
- https://nvd.nist.gov/vuln/detail/CVE-2026-16723
- https://arxiv.org/html/2509.10540v1
- https://nvd.nist.gov/vuln
- https://nvd.nist.gov/vuln/search
- https://nvd.nist.gov/vuln/categories
- https://nvd.nist.gov/vuln/data-feeds
- https://nvd.nist.gov/vuln/vendor-comments
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.