Dwie drogi wejścia, dwa różne zegary
Rovo od Atlassiana to asystent AI wbudowany już w Jira i Confluence, zdolny przeszukiwać zgłoszenia i strony oraz pobierać dane z połączonych aplikacji w imieniu użytkownika. W ciągu kilku miesięcy dwa niezależne zespoły badawcze znalazły dwa odrębne sposoby na zamienienie tej wygody w kanał eksfiltracji danych, a reakcja Atlassiana przebiegała w obu przypadkach w całkowicie różnym tempie.
Varonis zgłosił swoją technikę przez Bugcrowd, oficjalną platformę bug bounty Atlassiana, i otrzymał zwalidowaną poprawkę po stronie serwera w około sześć tygodni. PromptArmor zgłosił swoją technikę bezpośrednio do zespołu bezpieczeństwa Atlassiana w maju i przy publikacji wyników 5 sierpnia 2026, dziesięć tygodni i trzy ponaglenia później, wciąż czekał na odpowiedź. Według doniesień o tych zgłoszeniach, na dzień 8 sierpnia 2026 żadna z luk nie miała przypisanego CVE.
Wersja na jedno kliknięcie, którą Atlassian już naprawił
Technika Varonis, nazwana RovoBlast, wykorzystywała parametr URL o nazwie rovoChatPrompt, który mógł wstępnie załadować instrukcje napisane przez atakującego bezpośrednio do sesji Rovo Chat. Wystarczyło jedno kliknięcie uwierzytelnionego użytkownika w spreparowany link: Rovo odnajdywało informacje dostępne dla ofiary, osadzało je w adresie URL obrazka kontrolowanym przez atakującego i pobierało ten obraz, po cichu dostarczając dane na serwer atakującego. Testy potwierdziły, że technika mogła sięgnąć po prywatne klucze API Confluence oraz dane dostępne przez konektory Jira, SharePoint i Outlook.
Atlassian sklasyfikował zgłoszenie jako priorytet P2, wypłacił nagrodę w wysokości 6000 dolarów i wydał poprawkę po stronie serwera 8 lipca 2026, którą Varonis następnie zwalidował jako rozwiązaną. To wersja tej historii, która przebiegła dokładnie tak, jak powinno przebiegać odpowiedzialne zgłoszenie do dostawcy.
Wersja, która wciąż jest otwarta
Technika PromptArmor to pośrednie wstrzyknięcie poleceń: instrukcje ukryte wewnątrz dokumentu, niewidoczne dla ludzkiego czytelnika, które uaktywniają się, gdy tylko użytkownik poprosi Rovo o odczytanie lub przeszukanie tej treści. Rovo wykonuje ukryte instrukcje, zbiera zgłoszenia Jira i strony Confluence, do których zalogowany użytkownik ma dostęp, dołącza te dane do adresu URL i samo otwiera ten URL za pomocą własnego narzędzia do pobierania - bez osobnego etapu zatwierdzenia, który człowiek mógłby przechwycić lub zablokować. PromptArmor jasno stwierdza w swoim raporcie, że wyłączenie wyszukiwania w sieci w Rovo tego nie zatrzymuje, ponieważ to ustawienie usuwa jedynie wyszukiwanie w sieci, pozostawiając nienaruszone narzędzie leżące u podstaw, którego Rovo używa do otwierania URL-i i wyświetlania pobranych obrazów i linków.
PromptArmor zgłosił problem Atlassianowi 23 maja 2026 i dwa dni później otrzymał potwierdzenie z numerem sprawy. Ponaglał ponownie 4 czerwca i 29 lipca bez merytorycznej odpowiedzi, po czym opublikował swoje ustalenia 5 sierpnia 2026, gdy luka wciąż była niezałatana, a Atlassian nie potwierdził terminu naprawy.
Co konkretnie sprawdzić w tym tygodniu
Prawdziwa lekcja dotyczy nie tylko Atlassiana, ale sposobu działania ustawień agentów AI w narzędziach SaaS w ogóle. Przełącznik, który brzmi tak, jakby wyłączał jakąś funkcję, może w rzeczywistości wyłączać tylko wąską funkcję zbudowaną na szerszym narzędziu, do którego agent nadal ma pełny dostęp. Zanim zaufasz ustawieniu administracyjnemu kopilota AI wbudowanego w Jira, Confluence, SharePoint lub podobną platformę, konkretnym krokiem jest sprawdzenie, co dane ustawienie naprawdę robi, albo poproszenie zespołu bezpieczeństwa o próbę odtworzenia przeciwko niemu znanej techniki, takiej jak ta od PromptArmor, zamiast polegania na samej etykiecie.
Drugi konkretny krok dotyczy zakresu dostępu: sprawdź, do jakich konektorów może sięgnąć każdy agent AI w twojej infrastrukturze, i ogranicz domyślny szeroki dostęp do odczytu do tego, czego każdy zespół naprawdę potrzebuje, ponieważ ekspozycja w obu przypadkach Rovo była w całości określona przez uprawnienia, które zalogowany użytkownik już posiadał. Agent AI nie tworzy nowego dostępu - po prostu znacznie ułatwia komuś z zewnątrz masowe dotarcie do już zbyt szerokiego dostępu.
Czytaj dalej: Nowa przeglądarka Cloudflare obniża koszty, nie czas | Trzy dni na łatkę do AI, której nikt nie zapisał
