Due vie d'accesso, due orologi diversi
Rovo di Atlassian è l'assistente IA ormai integrato in Jira e Confluence, capace di cercare tra ticket e pagine e recuperare dati da app collegate per conto dell'utente. Nel giro di pochi mesi, due team di ricerca indipendenti hanno trovato due modi distinti per trasformare questa comodità in un canale di esfiltrazione dati, e la risposta di Atlassian ha seguito ritmi completamente diversi nei due casi.
Varonis ha segnalato la propria tecnica tramite Bugcrowd, la piattaforma ufficiale di bug bounty di Atlassian, ottenendo una correzione lato server validata in circa sei settimane. PromptArmor ha segnalato la propria tecnica direttamente al team di sicurezza di Atlassian a maggio e, al momento della pubblicazione dei risultati il 5 agosto 2026, dieci settimane e tre solleciti dopo, era ancora in attesa di una risposta. Secondo le notizie sulle segnalazioni, all'8 agosto 2026 nessuna delle due falle aveva un CVE assegnato.
La versione a un clic già corretta da Atlassian
La tecnica di Varonis, chiamata RovoBlast, sfruttava un parametro URL chiamato rovoChatPrompt in grado di precaricare istruzioni scritte da un attaccante direttamente in una sessione di Rovo Chat. Bastava un solo clic di un utente autenticato su un link creato ad arte: Rovo individuava informazioni accessibili alla vittima, le incorporava in un URL di immagine controllato dall'attaccante e recuperava quell'immagine, consegnando così silenziosamente i dati al server dell'attaccante. I test hanno confermato che la tecnica poteva raggiungere chiavi API private di Confluence e dati disponibili tramite connettori Jira, SharePoint e Outlook.
Atlassian ha classificato la segnalazione come priorità P2, ha pagato una ricompensa di 6.000 dollari e ha rilasciato una correzione lato server l'8 luglio 2026, poi validata da Varonis come risolta. Questa è la versione della vicenda che ha funzionato come dovrebbe funzionare una segnalazione responsabile a un fornitore.
La versione ancora aperta
La tecnica di PromptArmor è un'iniezione indiretta di istruzioni: istruzioni nascoste dentro un documento, invisibili al lettore umano, che si attivano non appena un utente chiede a Rovo di leggere o cercare in quel contenuto. Rovo segue le istruzioni nascoste, raccoglie i ticket Jira e le pagine Confluence a cui l'utente collegato ha accesso, aggiunge quei dati a un URL e apre esso stesso l'URL tramite il proprio strumento di recupero, senza un passaggio di approvazione separato che un essere umano possa intercettare o bloccare. PromptArmor precisa nel proprio rapporto che disattivare la ricerca web di Rovo non ferma l'attacco, perché quell'impostazione rimuove solo la ricerca web ma lascia intatto lo strumento sottostante che Rovo usa per aprire URL e mostrare le immagini e i link recuperati.
PromptArmor ha segnalato il problema ad Atlassian il 23 maggio 2026, ricevendo conferma con un numero di caso due giorni dopo. Ha sollecitato nuovamente il 4 giugno e il 29 luglio senza risposta sostanziale, pubblicando i propri risultati il 5 agosto 2026 con la falla ancora irrisolta e nessuna data di correzione confermata da Atlassian.
Cosa verificare concretamente questa settimana
La vera lezione non riguarda solo Atlassian, ma il funzionamento delle impostazioni degli agenti IA negli strumenti SaaS in generale. Un interruttore che sembra disattivare una capacità potrebbe in realtà disattivare solo una funzione ristretta costruita sopra uno strumento più ampio a cui l'agente continua ad avere pieno accesso. Prima di fidarsi di un'impostazione amministrativa di un copilota IA integrato in Jira, Confluence, SharePoint o piattaforme simili, il passo concreto è verificare cosa fa davvero quell'impostazione, o chiedere al proprio team di sicurezza di provare a riprodurre contro di essa una tecnica nota come quella di PromptArmor, invece di fidarsi dell'etichetta.
Il secondo passo concreto riguarda la portata degli accessi: verificate quali connettori può raggiungere ogni agente IA presente nella vostra infrastruttura e riducete l'accesso in lettura ampio di default a ciò che ogni team ha davvero bisogno, perché l'esposizione in entrambi i casi Rovo dipendeva interamente dai permessi che l'utente collegato aveva già. Un agente IA non crea nuovi accessi: rende semplicemente molto più facile per un estraneo raggiungere in blocco un accesso già troppo ampio.
Da leggere ora: Il nuovo browser di Cloudflare taglia i costi, non il tempo | Tre giorni per aggiornare l'IA che nessuno ha censito
