Investigadores han divulgado una técnica de ataque de un solo clic que podría haber provocado que el asistente empresarial de IA Rovo de Atlassian recuperara y divulgara información confidencial de sistemas empresariales conectados. El problema, denominado RovoBlast por Varonis Threat Labs, fue corregido por Atlassian antes de la publicación de la investigación.
Rovo está integrado con productos de Atlassian, incluidos Jira, Confluence y Bitbucket, así como con servicios externos como Slack, Microsoft 365 y Google Workspace. Sus capacidades de agente pueden ejecutar tareas de varios pasos con una interacción adicional limitada del usuario, lo que aumenta el posible impacto de un ataque de inyección de instrucciones.
Los enlaces maliciosos insertaban instrucciones
El ataque se basaba en un parámetro de URL llamado rovoChatPrompt, que insertaba automáticamente texto controlado por el atacante en la interfaz de chat de Rovo cuando un usuario abría un enlace especialmente diseñado. Varonis describió la técnica como inyección de parámetros en prompts, una categoría de ataque en la que un sistema de IA trata los parámetros de la aplicación como instrucciones confiables.
Según los investigadores, el enlace no necesitaba especificar un identificador de organización. En su lugar, Rovo podía dirigir la solicitud a la organización predeterminada de la víctima, sin indicar claramente que el contenido externo había rellenado previamente la sesión de chat. Los investigadores afirmaron que el método no requería un jailbreak ni una elusión de autorización independiente.
Las pruebas demostraron que Rovo podía identificar información disponible a través de numerosas fuentes conectadas, incluidos datos de proyectos internos, archivos cargados, bases de datos y contenido archivado. Varonis afirmó que la herramienta ResearchAgent era especialmente relevante porque podía realizar investigaciones en la web y trasladar información entre fuentes. En las demostraciones, se utilizó un único enlace preparado para recuperar y exponer páginas de Confluence, incidencias de Jira y material de SharePoint que contenía información personal.
Medidas de protección recomendadas
Varonis recomendó a las organizaciones revisar las integraciones de Rovo y restringir el acceso a sistemas que contengan datos confidenciales legales, de recursos humanos y financieros. Las organizaciones también deberían desconectar los servicios que no utilicen, deshabilitar la navegación o las funciones autónomas de varios pasos cuando no sean necesarias y supervisar los registros de actividad del asistente de IA para detectar comportamientos inusuales.
Atlassian afirmó que proteger los datos de sus clientes sigue siendo una prioridad y que está trabajando con ellos en controles de protección y medidas de seguridad adicionales. La empresa también describió la inyección de prompts como un desafío de seguridad de la IA que afecta a todo el sector y recomendó a los usuarios verificar el origen del contenido suministrado a las aplicaciones de Atlassian.