L'azienda di sicurezza PromptArmor ha divulgato una vulnerabilità nell'assistente AI Rovo di Atlassian che consente a istruzioni nascoste incorporate in file caricati — come i PDF — di innescare l'esfiltrazione di dati senza alcuna approvazione umana.

L'attacco sfrutta quella che è nota come prompt injection indiretta. Analogamente a come gli specialisti SEO black-hat nascondevano un tempo testo bianco su bianco nelle pagine web per manipolare le classifiche di ricerca, gli aggressori possono occultare istruzioni all'interno di un documento PDF usando tecniche come il colore del font trasparente e una dimensione del carattere di un pixel. Pur essendo invisibile a occhio nudo, l'agente AI elabora il testo nascosto come un comando legittimo. Questa classe di attacchi risulta particolarmente difficile da contrastare perché gli agenti AI devono elaborare contenuti esterni non attendibili per svolgere le loro funzioni previste: la stessa capacità che li rende utili crea anche la superficie di attacco.

Secondo la divulgazione di PromptArmor, Rovo — un agente AI che opera su Jira, Confluence e altri strumenti dell'area di lavoro Atlassian — può essere trasformato in un canale di esfiltrazione dati attraverso un singolo file dannoso. In uno scenario tipico, una vittima chiede a Rovo di organizzare dei ticket e carica un documento. Il documento contiene un prompt nascosto che istruisce Rovo a raccogliere informazioni sensibili e trasmetterle a un URL controllato dall'attaccante. PromptArmor descrive l'attacco come zero-click, ovvero senza alcuna richiesta di approvazione né alcun avviso per l'utente.

La prompt injection si verifica quando un aggressore inserisce istruzioni all'interno di contenuti che un modello AI sta leggendo, dirottandolo di fatto dal suo operatore legittimo. Nella variante indiretta, le istruzioni malevole risiedono in un file o in una pagina web anziché nell'interfaccia di chat stessa. Poiché Rovo è progettato per leggere contenuti e agire su di essi, un'istruzione nascosta come "invia qui i ticket riservati" viene interpretata dal modello come un comando valido. L'Open Web Application Security Project (OWASP) ha classificato la prompt injection come il rischio principale nella sua prima lista Top 10 per le applicazioni basate su modelli linguistici di grandi dimensioni, riflettendo la gravità che i ricercatori di sicurezza attribuiscono a questa classe di vulnerabilità.

In particolare, PromptArmor segnala che l'exploit "ha successo anche se un'organizzazione ha disabilitato la ricerca web per Rovo". L'azienda spiega che la disattivazione dell'impostazione di ricerca web non rimuove lo strumento responsabile dell'apertura degli URL dei risultati di ricerca, lasciando aperto il percorso di attacco.

La vulnerabilità ha implicazioni significative per gli utenti aziendali. Rovo non è uno strumento di consumo: opera sui dati di progetto più sensibili di un'azienda e agisce in modo autonomo. Gli agenti AI basati su GPT-5 e Gemini non sono riusciti a resistere alla prompt injection più del 79% delle volte nei test diretti, e il caso di Rovo dimostra che la variante indiretta ha successo in un prodotto aziendale commercialmente distribuito. Man mano che un numero crescente di fornitori integra agenti AI autonomi in suite di produttività che gestiscono dati aziendali riservati, è probabile che emergano punti di esposizione simili in tutta la categoria.

Atlassian ha ricevuto la segnalazione di PromptArmor il 23 maggio e l'ha inizialmente riconosciuta. "Atlassian ha assegnato un numero di caso e ha espresso ringraziamenti, ma dopo molteplici solleciti da parte di PromptArmor nel corso di oltre due mesi, Atlassian non ha più comunicato e Rovo rimane vulnerabile", ha scritto l'azienda di sicurezza. Al momento della pubblicazione, Atlassian non aveva rilasciato una risposta pubblica. Le organizzazioni che utilizzano Rovo per flussi di lavoro che coinvolgono dati sensibili potrebbero valutare se limitare le interazioni di caricamento file finché non sarà disponibile una correzione.

La divulgazione tecnica completa di PromptArmor è disponibile sul suo sito web ufficiale.

Per un contesto più ampio su questa classe di attacchi, si veda la guida di Decrypt sulla prompt injection AI.