O assistente de IA Rovo da Atlassian pode ser sequestrado para vazar dados do Jira e Confluence

Investigadores de segurança revelaram duas vulnerabilidades separadas de injeção de prompt no assistente de IA Rovo da Atlassian que permitem a atacantes exfiltrar silenciosamente dados sensíveis do Jira, Confluence, e ferramentas de terceiros conectadas — sem que a vítima alguma vez se aperceba que o seu assistente de IA foi sequestrado.

Ataque um: instruções ocultas em ficheiros comuns

A empresa de segurança PromptArmor descobriu que os atacantes podem incorporar comandos invisíveis dentro de ficheiros de outra forma comuns, como PDFs — usando técnicas como texto branco sobre fundo branco numa fonte minúscula, invisível para qualquer leitor humano mas totalmente legível pela IA do Rovo. Quando um funcionário carrega um ficheiro assim e pede ao Rovo ajuda numa tarefa rotineira, como organizar tickets do Jira, as instruções ocultas sequestram o assistente em vez disso. O Rovo então extrai silenciosamente informações sensíveis de tickets do Jira, páginas do Confluence, ou outros dados conectados, e transmite-as a um servidor controlado pelo atacante usando a sua própria ferramenta de recuperação de URL.

O exploit contorna uma salvaguarda que as organizações podem assumir que as protege: desativar a funcionalidade de pesquisa web do Rovo não remove a sua capacidade subjacente de abrir URLs externos, pelo que o canal de exfiltração sobrevive mesmo quando um administrador pensa tê-lo bloqueado. A PromptArmor divulgou a falha em privado à Atlassian em 23 de maio de 2026, e publicou os detalhes publicamente em 5 de agosto após confirmar que este vetor ainda não tinha sido corrigido.

Ataque dois: um único link malicioso

Separadamente, a Varonis Threat Labs identificou uma segunda falha a que chama "RovoBlast", explorando um parâmetro de URL chamado rovoChatPrompt que permite a um atacante pré-preencher a janela de chat do Rovo com instruções antes mesmo de o utilizador a abrir. Se um funcionário com sessão iniciada clicar num link especialmente concebido, o Rovo trata o texto incorporado como entrada confiável dentro da sessão ativa desse utilizador — executando-se com as suas permissões reais. A partir daí, a ferramenta ResearchAgent integrada do Rovo, concebida para pesquisa legítima multi-fonte, pode ser virada contra a organização para extrair autonomamente dados do Jira, Confluence, e serviços integrados incluindo SharePoint, Slack, Google Workspace, e Microsoft 365, e depois enviá-los ao atacante.

A Varonis reportou o RovoBlast através do programa de recompensas por bugs Bugcrowd da Atlassian, e a Atlassian lançou uma correção do lado do servidor em 8 de julho de 2026 — um tempo de resposta muito mais rápido do que o vetor da PromptArmor, ainda em aberto.

O que está realmente em risco

Ambos os ataques podem expor a mesma categoria de dados corporativos sensíveis: conteúdo de tickets do Jira, texto de páginas do Confluence, chaves API privadas, listas de membros do espaço de trabalho, IDs internos de página e organização, e endereços de e-mail de autores. Como o Rovo opera com qualquer acesso que o utilizador com sessão iniciada tenha, o raio de impacto de um ataque bem-sucedido escala diretamente com quão amplamente uma organização conectou o Rovo aos seus sistemas internos.

Por que isto importa além da Atlassian

Conforme relatado pela The Hacker News, a fraqueza subjacente não é exclusiva do Rovo — é estrutural para qualquer assistente de IA que processe conteúdo externo não confiável (ficheiros carregados, páginas web, ou URLs concebidos) enquanto também tem acesso privilegiado a sistemas internos. Investigadores de segurança sinalizaram esta classe de vulnerabilidade, conhecida como injeção de prompt indireta, como um dos problemas mais difíceis na implementação de agentes de IA empresariais, já que a carga útil do ataque nunca toca diretamente no utilizador — é contrabandeada através de conteúdo que a IA lê em nome do utilizador.

Para organizações que executam o Rovo ou assistentes de IA semelhantes conectados a sistemas sensíveis, o passo prático imediato é aplicar a correção de julho da Atlassian para o RovoBlast e tratar o vetor reportado pela PromptArmor como um risco ativo e não resolvido até que a Atlassian confirme uma correção.