Duas vias de entrada, dois relógios diferentes

O Rovo da Atlassian é o assistente de IA agora integrado no Jira e no Confluence, capaz de pesquisar tickets e páginas e obter dados de aplicações ligadas em nome de um utilizador. Em poucos meses, duas equipas de investigação independentes encontraram duas formas distintas de transformar essa comodidade num canal de exfiltração de dados, e a resposta da Atlassian seguiu um ritmo completamente diferente em cada caso.

A Varonis comunicou a sua técnica através da Bugcrowd, a plataforma oficial de recompensas por deteção de falhas da Atlassian, e obteve uma correção no lado do servidor validada em cerca de seis semanas. A PromptArmor comunicou a sua técnica diretamente à equipa de segurança da Atlassian em maio e, quando publicou as suas conclusões a 5 de agosto de 2026, dez semanas e três seguimentos depois, continuava à espera de uma resposta. Segundo a cobertura destas comunicações, nenhuma das duas falhas tinha um CVE atribuído a 8 de agosto de 2026.

A versão de um clique que a Atlassian já corrigiu

A técnica da Varonis, batizada de RovoBlast, explorava um parâmetro de URL chamado rovoChatPrompt capaz de pré-carregar instruções escritas por um atacante diretamente numa sessão do Rovo Chat. Bastava um único clique de um utilizador autenticado num link preparado: o Rovo localizava informação a que a vítima tinha acesso, incorporava-a num URL de imagem controlado pelo atacante e obtinha essa imagem, entregando silenciosamente os dados ao servidor do atacante. Os testes confirmaram que a técnica conseguia alcançar chaves privadas de API do Confluence e dados disponíveis através de conectores do Jira, SharePoint e Outlook.

A Atlassian classificou o relatório como prioridade P2, pagou uma recompensa de 6.000 dólares e lançou uma correção no lado do servidor a 8 de julho de 2026, que a Varonis validou depois como resolvida. Esta é a versão desta história que decorreu tal como se espera que decorra uma divulgação responsável a um fornecedor.

A versão que continua em aberto

A técnica da PromptArmor é uma injeção indireta de instruções: instruções escondidas dentro de um documento, invisíveis para o leitor humano, que entram em ação assim que um utilizador pede ao Rovo para ler ou pesquisar esse conteúdo. O Rovo segue as instruções escondidas, reúne os tickets do Jira e as páginas do Confluence a que o utilizador com sessão iniciada tem acesso, junta esses dados a um URL e abre ele próprio esse URL através da sua ferramenta de obtenção - sem uma etapa de aprovação separada que um humano possa detetar ou bloquear. A PromptArmor deixa claro no seu relatório que desativar a pesquisa na web do Rovo não trava isto, porque essa definição remove apenas a pesquisa na web mas deixa intacta a ferramenta subjacente que o Rovo usa para abrir URLs e mostrar as imagens e links obtidos.

A PromptArmor comunicou o problema à Atlassian a 23 de maio de 2026 e recebeu uma confirmação com um número de caso dois dias depois. Voltou a insistir a 4 de junho e a 29 de julho sem resposta substancial, e publicou as suas conclusões a 5 de agosto de 2026 com a falha ainda por resolver e sem data de correção confirmada pela Atlassian.

O que verificar concretamente esta semana

A verdadeira lição não diz respeito apenas à Atlassian, mas ao funcionamento das definições dos agentes de IA nas ferramentas SaaS em geral. Um interruptor que parece desativar uma capacidade pode, na verdade, desativar apenas uma função estreita construída sobre uma ferramenta mais ampla a que o agente continua a ter acesso total. Antes de confiar numa definição de administração de um copiloto de IA integrado no Jira, Confluence, SharePoint ou plataforma semelhante, o passo concreto é testar o que essa definição realmente faz, ou pedir à sua equipa de segurança que tente reproduzir contra ela uma técnica conhecida como a da PromptArmor, em vez de confiar na etiqueta.

O segundo passo concreto diz respeito ao alcance: verifique a que conectores cada agente de IA na sua infraestrutura consegue aceder, e reduza o acesso de leitura amplo por omissão ao que cada equipa realmente precisa, porque a exposição em ambos os casos do Rovo foi inteiramente definida pelas permissões que o utilizador com sessão iniciada já tinha. Um agente de IA não cria novos acessos - torna apenas muito mais fácil para alguém externo alcançar em bloco um acesso que já era demasiado amplo.

Leia a seguir: O novo navegador da Cloudflare poupa custos, não tempo  |  Três dias para corrigir a IA que ninguém registou