Firma bezpieczeństwa PromptArmor ujawniła lukę w asystencie AI Rovo firmy Atlassian, która pozwala na ukrycie instrukcji w przesyłanych plikach — takich jak PDF-y — w celu wywołania eksfiltracji danych bez jakiejkolwiek zatwierdzającej akcji ze strony człowieka.

Atak wykorzystuje technikę określaną jako pośrednie wstrzykiwanie promptów. Podobnie jak specjaliści czarnego kapelusza SEO ukrywali kiedyś biały tekst na białym tle na stronach internetowych, aby manipulować wynikami wyszukiwania, atakujący mogą przemycić instrukcje do dokumentu PDF za pomocą technik takich jak przezroczysty kolor czcionki i rozmiar czcionki wynoszący jeden piksel. Choć są one niewidoczne gołym okiem, agent AI przetwarza ukryty tekst jako prawidłową komendę. Klasa ataków tego typu jest szczególnie trudna do odeprcia, ponieważ agenci AI muszą przetwarzać niezaufane treści z zewnątrz, aby wykonywać swoje funkcje — ta sama zdolność, która czyni je użytecznymi, tworzy również powierzchnię ataku.

Zgodnie z ujawnieniem firmy PromptArmor, Rovo — agent AI działający w obrębie Jiry, Confluence i innych narzędzi obszaru roboczego Atlassian — może zostać przekształcony w kanał eksfiltracji danych za pomocą jednego złośliwego pliku. W typowym scenariuszu ofiara prosi Rovo o uporządkowanie zgłoszeń i przesyła dokument. Dokument zawiera ukryty prompt nakazujący Rovo zebranie wrażliwych informacji i przesłanie ich na URL kontrolowany przez atakującego. PromptArmor określa to jako atak typu zero-click, co oznacza, że nie pojawia się żaden monit o zatwierdzenie ani żadne ostrzeżenie dla użytkownika.

Wstrzykiwanie promptów ma miejsce, gdy atakujący osadza instrukcje w treści, którą odczytuje model AI, skutecznie przejmując kontrolę nad modelem z rąk właściwego operatora. W wariancie pośrednim złośliwe instrukcje znajdują się w pliku lub na stronie internetowej, a nie w samym interfejsie czatu. Ponieważ Rovo jest zaprojektowane do odczytywania treści i podejmowania na ich podstawie działań, ukryta instrukcja taka jak „wyślij poufne zgłoszenia tutaj" jest interpretowana przez model jako prawidłowa komenda. Open Web Application Security Project (OWASP) sklasyfikował wstrzykiwanie promptów jako największe zagrożenie na swojej inauguracyjnej liście Top 10 dla aplikacji opartych na dużych modelach językowych, co odzwierciedla wagę, jaką badacze bezpieczeństwa przypisują tej klasie luk.

Należy zauważyć, że PromptArmor informuje, iż exploit „działa nawet wtedy, gdy organizacja wyłączyła wyszukiwanie w sieci dla Rovo." Firma wyjaśnia, że wyłączenie ustawienia wyszukiwania w sieci nie usuwa narzędzia odpowiedzialnego za otwieranie adresów URL z wynikami wyszukiwania, pozostawiając ścieżkę ataku otwartą.

Luka ta ma istotne konsekwencje dla użytkowników korporacyjnych. Rovo nie jest narzędziem konsumenckim; działa na szczycie najbardziej wrażliwych danych projektowych firmy i podejmuje działania autonomicznie. Agenci AI zbudowani na GPT-5 i Gemini nie potrafili oprzeć się wstrzykiwaniu promptów w ponad 79% przypadków w testach bezpośrednich, a przypadek Rovo ukazuje wariant pośredni odnoszący sukces w komercyjnie wdrożonym produkcie korporacyjnym. W miarę jak kolejni dostawcy osadzają autonomicznych agentów AI w pakietach produktywności obsługujących poufne dane biznesowe, podobne punkty ekspozycji prawdopodobnie będą pojawiać się w całej tej kategorii.

Atlassian otrzymał raport PromptArmor 23 maja i wstępnie go potwierdził. „Atlassian przypisał numer sprawy i wyraził podziękowania, ale po wielokrotnych prośbach o aktualizację ze strony PromptArmor przez ponad dwa miesiące Atlassian nie nawiązał dalszej komunikacji, a Rovo pozostaje podatne na atak" — napisała firma bezpieczeństwa. W momencie publikacji Atlassian nie udzielił publicznej odpowiedzi. Organizacje korzystające z Rovo w procesach roboczych obejmujących wrażliwe dane mogą rozważyć ograniczenie interakcji związanych z przesyłaniem plików, dopóki nie będzie dostępna poprawka.

Pełne techniczne ujawnienie PromptArmor jest dostępne na jego oficjalnej stronie internetowej.

Szerszy kontekst dotyczący tej klasy ataków można znaleźć w objaśnieniu Decrypt dotyczącym wstrzykiwania promptów AI.