Dos vías de entrada, dos relojes distintos

Rovo, el asistente de IA de Atlassian, está integrado en Jira y Confluence y puede buscar en tickets y páginas y traer datos de aplicaciones conectadas en nombre del usuario. En cuestión de pocos meses, dos equipos de investigadores independientes encontraron dos formas distintas de convertir esa comodidad en un canal de filtración de datos, y la respuesta de Atlassian siguió un ritmo completamente diferente en cada caso.

Varonis reportó su técnica a través de Bugcrowd, la plataforma oficial de recompensas de Atlassian, y obtuvo una corrección validada del lado del servidor en unas seis semanas. PromptArmor reportó su técnica directamente al equipo de seguridad de Atlassian en mayo y, al publicar sus hallazgos el 5 de agosto de 2026, diez semanas y tres mensajes de seguimiento después, seguía esperando una respuesta. Según las coberturas sobre estos reportes, ninguna de las dos vulnerabilidades tenía asignado un CVE a 8 de agosto de 2026.

La versión de un clic que Atlassian ya corrigió

La técnica de Varonis, bautizada RovoBlast, explotaba un parámetro de URL llamado rovoChatPrompt que podía precargar instrucciones escritas por un atacante directamente en una sesión de Rovo Chat. Bastaba un solo clic de un usuario autenticado sobre un enlace manipulado: Rovo localizaba información a la que la víctima tenía acceso, la incrustaba en una URL de imagen controlada por el atacante y recuperaba esa imagen, entregando los datos silenciosamente al servidor del atacante. Las pruebas confirmaron que la técnica podía alcanzar claves privadas de API de Confluence y datos disponibles a través de conectores de Jira, SharePoint y Outlook.

Atlassian calificó el reporte como prioridad P2, pagó una recompensa de 6.000 dólares y publicó una corrección del lado del servidor el 8 de julio de 2026, que Varonis validó después como resuelta. Esta es la versión de la historia que funcionó como se supone que debe funcionar el proceso de reporte a un proveedor.

La versión que sigue abierta

La técnica de PromptArmor es una inyección de instrucciones indirecta: instrucciones ocultas dentro de un documento, invisibles para el lector humano, que se activan en cuanto un usuario le pide a Rovo que lea o busque en ese contenido. Rovo sigue las instrucciones ocultas, recopila los tickets de Jira y las páginas de Confluence a los que el usuario conectado tiene acceso, añade esos datos a una URL y abre esa URL él mismo mediante su propia herramienta de recuperación, sin un paso de aprobación separado que un humano pueda detectar o bloquear. PromptArmor deja claro en su informe que desactivar la búsqueda web de Rovo no detiene esto, porque esa opción elimina la búsqueda web pero deja intacta la herramienta subyacente que Rovo usa para abrir URL y mostrar las imágenes y enlaces que recupera.

PromptArmor comunicó el problema a Atlassian el 23 de mayo de 2026 y recibió confirmación con un número de caso dos días después. Volvió a insistir el 4 de junio y el 29 de julio sin respuesta sustancial, y publicó sus hallazgos el 5 de agosto de 2026 con el fallo aún sin resolver y sin fecha confirmada de corrección por parte de Atlassian.

Qué revisar concretamente esta semana

La lección real no trata solo de Atlassian, sino de cómo funcionan las configuraciones de los agentes de IA en las herramientas SaaS en general. Un interruptor que suena como si desactivara una capacidad puede desactivar únicamente una función estrecha construida sobre una herramienta más amplia a la que el agente sigue teniendo acceso completo. Antes de confiar en cualquier ajuste de administrador de un copiloto de IA integrado en Jira, Confluence, SharePoint o una plataforma similar, el paso práctico es comprobar qué hace realmente ese ajuste, o pedir al equipo de seguridad que intente reproducir contra él una técnica conocida como la de PromptArmor, en lugar de fiarse de la etiqueta.

El segundo paso práctico es de alcance: audite qué conectores puede alcanzar cualquier agente de IA en su empresa y reduzca el acceso de lectura amplio por defecto a lo que cada equipo realmente necesita, porque la exposición en ambos casos de Rovo dependió por completo de los permisos que el usuario conectado ya tenía. Un agente de IA no crea accesos nuevos: simplemente hace mucho más fácil para alguien externo alcanzar en bloque un acceso que ya era demasiado amplio.

Leer a continuación: El nuevo navegador de Cloudflare ahorra costes, no tiempo  |  Tres días para parchear la IA que nadie registró