I ricercatori hanno divulgato una tecnica d’attacco con un solo clic che avrebbe potuto indurre l’assistente IA aziendale Rovo di Atlassian a recuperare e divulgare informazioni sensibili dai sistemi aziendali collegati. Il problema, denominato RovoBlast dai Varonis Threat Labs, è stato risolto da Atlassian prima della pubblicazione della ricerca.
Rovo è integrato nei prodotti Atlassian, tra cui Jira, Confluence e Bitbucket, nonché in servizi esterni come Slack, Microsoft 365 e Google Workspace. Le sue funzionalità agentiche possono eseguire attività in più fasi con un’interazione aggiuntiva limitata da parte dell’utente, aumentando il potenziale impatto di un attacco di prompt injection.
I link dannosi inserivano istruzioni
L’attacco si basava su un parametro URL denominato rovoChatPrompt, che inseriva automaticamente testo controllato dall’attaccante nell’interfaccia di chat di Rovo quando un utente apriva un link appositamente creato. Varonis ha descritto la tecnica come parameter-to-prompt injection, una categoria di attacco in cui i parametri dell’applicazione vengono trattati da un sistema di IA come istruzioni affidabili.
Secondo i ricercatori, il link non doveva specificare un identificativo dell’organizzazione. Rovo poteva invece indirizzare la richiesta all’organizzazione predefinita della vittima, senza indicare chiaramente che la sessione di chat era stata precompilata da contenuti esterni. I ricercatori hanno affermato che il metodo non richiedeva un jailbreak né un’autorizzazione aggiuntiva.
I test hanno dimostrato che Rovo poteva individuare informazioni disponibili attraverso numerose fonti collegate, tra cui dati interni sui progetti, file caricati, database e contenuti archiviati. Varonis ha affermato che lo strumento ResearchAgent era particolarmente significativo perché poteva condurre ricerche sul Web e trasferire informazioni tra diverse fonti. Nelle dimostrazioni, un singolo link predisposto è stato utilizzato per recuperare ed esporre pagine Confluence, issue Jira e materiale SharePoint contenenti informazioni personali.
Misure di sicurezza consigliate
Varonis ha consigliato alle organizzazioni di esaminare le integrazioni di Rovo e limitare l’accesso ai sistemi contenenti dati legali, delle risorse umane e finanziari sensibili. Le organizzazioni dovrebbero inoltre disconnettere i servizi inutilizzati, disabilitare la navigazione o le funzionalità autonome in più fasi laddove non siano necessarie e monitorare i log delle attività dell’assistente IA per individuare comportamenti insoliti.
Atlassian ha dichiarato che la protezione dei dati dei clienti resta una priorità e che sta collaborando con i clienti per introdurre controlli di protezione e ulteriori misure di sicurezza. L’azienda ha inoltre definito la prompt injection una sfida di sicurezza dell’IA che riguarda l’intero settore e ha invitato gli utenti a verificare la fonte dei contenuti forniti alle applicazioni Atlassian.