Em resumo
- A empresa de segurança PromptArmor afirma que o assistente de IA Rovo pode ser direcionado para exfiltrar dados sem aprovação humana, por meio de instruções ocultas em um arquivo enviado, como PDFs.
- O truque funciona mesmo quando uma organização desativa a pesquisa na web do Rovo, porque a ferramenta de abertura de URLs permanece ativa.
- A Atlassian, fabricante do Rovo, recebeu o relatório em 23 de maio e ficou em silêncio; dois meses depois, o Rovo "continua vulnerável", diz a empresa de segurança.
Lembra quando os black-hats de SEO enchiam páginas da web com palavras-chave brancas sobre branco — invisíveis para os leitores, legíveis para o Google — para manipular os rankings de busca? Os hackers estão fazendo o mesmo com modelos de IA agora. O atacante esconde instruções dentro de um documento PDF, o modelo não consegue distinguir entre as palavras do usuário e as plantadas, e obedece.
De acordo com a divulgação da PromptArmor, o Rovo — o agente da Atlassian que alcança Jira, Confluence e o resto do seu espaço de trabalho — pode ser transformado em um pipeline de dados com um único arquivo envenenado. Uma vítima pede ao Rovo para organizar alguns tickets, envia um documento, e o documento carrega um prompt oculto (por exemplo, uma instrução escrita em cor transparente e com fonte de 1 pixel de tamanho).
O olho não consegue ver, mas um Agente reconhece esse texto como outro texto no documento. Esse prompt diz ao Rovo para coletar dados sensíveis e colá-los em uma URL controlada pelo atacante. A empresa chama isso de ataque de zero clique. Não há clique de aprovação e nenhum aviso.
Uma injeção de prompt é quando alguém insere instruções no conteúdo que uma IA está lendo, sequestrando-a de seu operador real. "Indireta" apenas significa que o veneno está em um arquivo ou página da web, em vez de na caixa de chat. O trabalho da Rovo é ler coisas e agir sobre elas, então uma linha oculta que diz "envie os tickets confidenciais para cá" é lida pelo modelo como um comando legítimo.
A PromptArmor diz que o vazamento "funciona mesmo que uma organização tenha desabilitado a pesquisa na web para a Rovo. Isso porque a configuração de pesquisa na web não remove a ferramenta para abrir os resultados da pesquisa." Desligue o recurso, e a porta permanece aberta.
Rovo não é uma ferramenta de hobby. Ele fica no topo dos dados de projeto mais sensíveis de uma empresa e age por conta própria. Agentes de IA construídos em GPT-5 e Gemini falharam em resistir à injeção de prompt mais de 79% das vezes em testes diretos—e Rovo mostra a versão indireta chegando a um produto empresarial em envio. O padrão continua se repetindo com agentes que podem ler e agir sendo apontados na direção errada.
A Atlassian processou o relatório e agradeceu à PromptArmor, diz a empresa, e depois ficou em silêncio. Rovo, conclui a PromptArmor, "permanece vulnerável."
"A Atlassian atribuiu um número de caso e expressou gratidão, mas após vários acompanhamentos da PromptArmor por mais de dois meses, a Atlassian não fez mais nenhuma comunicação, e o Rovo permanece vulnerável," escreveu a empresa.
