RovoBlast е уязвимост от тип prompt-injection с едно кликване в Atlassian Rovo, която може да позволи на атакуващите да извлекат чувствителни корпоративни данни от Jira, Confluence, SharePoint и други свързани услуги.
Atlassian адресира докладвания проблем, базиран на URL адреси, от страна на сървъра след отговорно разкриване, като корекцията за сигурност бе внедрена на 8 юли 2026 г.
Rovo е корпоративният AI асистент на Atlassian, предназначен да търси, обобщава и предприема действия в Jira, Confluence, Bitbucket и платформи на трети страни (SaaS).
Неговата стойност произтича от достъпа до организационния контекст. Същият този широк достъп обаче може да създаде сериозен риск за сигурността, когато контролирано от атакуващия съдържание се третира като доверени инструкции.
Атаката RovoBlast злоупотребява с URL параметър, наречен rovoChatPrompt. Този параметър може предварително да попълни Rovo Chat с prompt, когато влязъл в системата потребител отвори специално разработена връзка.
Според Varonis, асистентът е обработил предоставения текст в рамките на удостоверената сесия на жертвата, като ефективно е дал на атакуващия същия контекст и достъп, налични за потребителя.
Атаката не изисква разбиване на защити (jailbreak), откраднати идентификационни данни или доказано заобикаляне на разрешенията. Вместо това тя разчита на инжектиране от параметър към prompt (parameter-to-prompt injection), наричано още P2P инжектиране.
Жертвата е трябвало единствено да кликне върху злонамерен линк, докато е влязла в Atlassian. След това Rovo може да претърси източниците на данни, до които жертвата вече има разрешен достъп, и да обобщи резултатите.
Тази разлика е важна. RovoBlast не дава на атакуващия неограничен достъп до целия клиентски профил (tenant) в Atlassian. Съществуващите разрешения на влезлия в системата потребител ограничават изложените на риск данни.
Въпреки това, много служители имат достъп до поверителни Jira билети, вътрешни Confluence страници, API ключове, планове за проекти, клиентски записи и документация за реагиране при инциденти. Поради това една компрометирана сесия може да изложи на риск ценна бизнес информация.
Изследователите от Varonis съобщават, че автономните възможности на Rovo увеличават въздействието. Функцията ResearchAgent на Rovo може да изпълнява многостъпкови задачи за проучване и сърфиране.
При сценарий с небезопасно инжектиране на инструкции, подобни функции могат да позволят на AI асистента да извлече вътрешно съдържание, да го трансформира и да го изпрати към външна дестинация с минимално допълнително взаимодействие от страна на потребителя.
Това откритие подчертава по-широкото предизвикателство пред сигурността на корпоративния изкуствен интелект. AI асистентите все по-често комбинират достъп до лични данни, излагане на несигурно съдържание и възможност за използване на външни инструменти или уебсайтове. Тази комбинация може да превърне обикновена връзка, документ, коментар или свързано приложение в точка за влизане с цел инжектиране на инструкции.
Екипите по сигурността трябва да третират AI асистентите като нива с привилегирован достъп, а не просто като обикновени чат интерфейси. Организациите трябва да прегледат разрешенията в Rovo, да изключат неизползваните конектори и да ограничат достъпа до изключително чувствителни хранилища, като например правни, човешки ресурси, финанси и записи за инциденти със сигурността.
Те също така трябва да ограничат възможностите за автономно сърфиране и автоматизация на агентите, когато тези функции не са оперативно необходими. Мониторингът е също толкова важен.
Екипите трябва да преглеждат дневниците с дейности на изкуствения интелект, да разследват необичайни изпълнения на агенти и да тестват дали външни данни могат да повлияят на поведението на AI в тяхната среда. Обучението за повишаване на осведомеността на потребителите трябва също така да обхваща злонамерени връзки и сценарии за фишинг, базирани на изкуствен интелект.
RovoBlast демонстрира, че рискът при корпоративния изкуствен интелект не е свързан само с поведението на модела. Той е свързан с границите на доверие. Когато един AI асистент може да чете чувствителни данни, да се представя за легитимен потребител и да взаимодейства с външни услуги, едно неправилно класифицирано входящо съдържание може да доведе до скрито изтичане на данни.