Badacze ujawnili technikę ataku jednym kliknięciem, która mogła spowodować, że korporacyjny asystent AI Rovo firmy Atlassian pobierał i ujawniał poufne informacje z połączonych systemów biznesowych. Problem, nazwany RovoBlast przez Varonis Threat Labs, został naprawiony przez Atlassian przed opublikowaniem badań.
Rovo jest zintegrowany z produktami Atlassian, w tym Jira, Confluence i Bitbucket, a także z usługami zewnętrznymi, takimi jak Slack, Microsoft 365 i Google Workspace. Jego możliwości agentowe pozwalają wykonywać wieloetapowe zadania przy ograniczonej dodatkowej interakcji użytkownika, zwiększając potencjalny wpływ ataku polegającego na wstrzyknięciu instrukcji.
Złośliwe linki wprowadzały instrukcje
Atak opierał się na parametrze URL o nazwie rovoChatPrompt, który automatycznie wstawiał tekst kontrolowany przez atakującego do interfejsu czatu Rovo, gdy użytkownik otworzył specjalnie spreparowany link. Varonis opisał tę technikę jako wstrzyknięcie z parametru do promptu, czyli kategorię ataków, w której parametry aplikacji są traktowane przez system AI jako zaufane instrukcje.
Według badaczy link nie musiał określać identyfikatora organizacji. Rovo mógł zamiast tego skierować żądanie do domyślnej organizacji ofiary, bez wyraźnego wskazania, że sesja czatu została wcześniej wypełniona treścią zewnętrzną. Badacze stwierdzili, że metoda nie wymagała jailbreaku ani osobnego obejścia autoryzacji.
Testy wykazały, że Rovo mógł identyfikować informacje dostępne za pośrednictwem licznych połączonych źródeł, w tym wewnętrzne dane projektowe, przesłane pliki, bazy danych i zarchiwizowane treści. Varonis wskazał, że narzędzie ResearchAgent miało szczególne znaczenie, ponieważ mogło prowadzić badania w sieci i przenosić informacje między źródłami. W demonstracjach pojedynczy link zawierający instrukcję wykorzystano do pobrania i ujawnienia stron Confluence, zgłoszeń Jira oraz materiałów SharePoint zawierających dane osobowe.
Zalecane zabezpieczenia
Varonis doradził organizacjom, aby dokonały przeglądu integracji Rovo i ograniczyły dostęp do systemów zawierających wrażliwe dane prawne, kadrowe i finansowe. Organizacje powinny również odłączyć nieużywane usługi, wyłączyć przeglądanie lub autonomiczne funkcje wieloetapowe tam, gdzie nie są konieczne, oraz monitorować dzienniki aktywności asystenta AI pod kątem nietypowego zachowania.
Atlassian oświadczył, że ochrona danych klientów pozostaje priorytetem oraz że współpracuje z klientami nad mechanizmami ochronnymi i dodatkowymi zabezpieczeniami. Firma określiła również wstrzykiwanie promptów jako wyzwanie dla bezpieczeństwa AI dotyczące całej branży i zaapelowała do użytkowników o weryfikowanie źródła treści przekazywanych do aplikacji Atlassian.