Скрити инструкции карат Rovo да издава данни от Jira

Две независими изследователски групи показаха, че Atlassian Rovo — AI асистентът, вграден в Jira и Confluence — може да бъде подлъган да изпрати съдържанието на тикети и документи към сървър на атакуващия. Компанията PromptArmor публикува своя анализ на 5 август 2026 г., а Varonis Threat Labs представи атака с кодово име RovoBlast на DEF CON 34. Към 8 август за нито един от двата проблема няма присвоен CVE идентификатор.

Какво точно се случва

И двете атаки стъпват на едно и също: Rovo не различава данните, които обработва, от инструкциите, които изпълнява. Това е класически indirect prompt injection — скрит текст в документ или линк, който агентът чете като заповед.

При сценария на PromptArmor достатъчно е потребителят да качи заразен файл в разговор с Rovo. Скритите в него инструкции карат асистента да събере достъпните му тикети от Jira, страници от Confluence и данни от свързаните конектори, след което да ги закачи като параметри в URL адрес и да отвори този адрес. Логът на сървъра отсреща записва всичко.

Снимка: PromptArmor

Ключовият пропуск според изследователите е инструментът за отваряне на URL: няма никаква защита срещу адрес, който самият агент е сглобил в движение. Отделен проблем е, че изключването на web search в настройките маха търсенето, но не маха инструмента за отваряне на резултатите. Като допълнителен канал за изтичане работи и рендерирането на изображения в Markdown — стар трик, който вече видяхме и при червея в Word документи, който превзема Copilot.

RovoBlast: една връзка е достатъчна

Атаката на Долев Талер от Varonis Threat Labs е още по-пряка. Rovo Chat приема начален текст през параметър в адреса:

https://home.atlassian.com/chat?rovoChatPathway=chat&rovoChatPrompt=<инструкции>

Един клик върху такъв линк — в имейл, в тикет, в Slack — зарежда инструкциите на атакуващия като че ли са написани от самия потребител. Оттам нататък работа върши ResearchAgent, автономният инструмент на Rovo, който може да тегли от вътрешни източници, да обхожда произволни сайтове в няколко стъпки и да прави заявки навън. Varonis го описва като готов двигател за изтичане: цикълът „вземи данните, преработи ги, качи ги навън“ минава без нито едно допълнително потвърждение.

Кое е поправено и кое не

Тук двете истории се разделят.

RovoBlast е докладван отговорно и Atlassian пуска сървърна поправка на 8 юли 2026 г. Записът в Bugcrowd е маркиран като решен, а наградата е 6000 долара (около 5200 евро).

Файловата инжекция на PromptArmor е друга история. Хронологията, която фирмата публикува, изглежда така:

• 23 май 2026 г. — доклад до Atlassian
• 25 май 2026 г. — потвърждение и номер на случай
• 4 юни и 29 юли — два опита за проследяване без отговор
• 5 август — публикация, при която проблемът все още не е затворен

Кой е засегнат

Rovo е включен по подразбиране в плановете Standard, Premium и Enterprise, така че става дума за огромна инсталирана база. Освен Jira и Confluence асистентът достига Bitbucket, Slack, Microsoft 365, Google Workspace и над 50 други платформи през Rovo Connectors — тествани са конектори към SharePoint и Outlook.

Има и добра новина: изтича само това, до което компрометираният акаунт вече има достъп. Никой от двата екипа не е показал заобикаляне на правата в целия tenant, нито има данни за реална експлоатация в дивата природа.

Какво да направите сега

Препоръките на изследователите са скучни, но работят: прегледайте кои приложения и потребителски групи имат достъп до Rovo, стеснете обхвата на конекторите, затегнете правата отдолу нагоре и изключете функциите на Rovo за приложенията с най-чувствително съдържание през администрацията на организацията.

Заключение

Случаят с Rovo не е изолиран — той е поредната илюстрация на един и същ структурен проблем. AI асистентът има правата на потребителя, инструмент за излизане навън и никакъв надежден начин да отличи данни от команди. Същият модел на пробив видяхме преди дни и при петте AI браузъра, превзети с един-единствен имейл. Докато инструментите за мрежов достъп не бъдат заключени по подразбиране, всеки корпоративен агент, който чете чужди файлове, си остава потенциален канал за изтичане на данни.