Rejtett szöveggel lophatnak adatokat az Atlassian Rovo AI-ügynökéről

A PromptArmor biztonsági cég felfedezett egy sebezhetőséget az Atlassian Rovo AI-ügynökében. A támadók egy speciálisan elkészített PDF-fájlban elrejtett, fehér színű utasításokkal tudják rávenni a Rovo-t, hogy bizalmas adatokat gyűjtsön össze a Jira és Confluence rendszerekből, majd ezeket egy támadó által vezérelt szerverre küldje egy dinamikusan generált URL-en keresztül. (The Decoder)

A támadás különösen veszélyes, mert nem igényel felhasználói megerősítést, és nem hagy látható nyomot a csevegésben. A Rovo ugyanis az Atlassian teljes termékcsaládjában képes működni, hozzáférve a Jira, a Confluence és más, csatlakoztatott szolgáltatások adataihoz. A fehér színű, egypontos méretű szöveg a PDF-ben olyan rejtett prompt-injekcióként működik, amelyet emberi szem nem észlelhet.

Az adatlopás nem korlátozódik a feltöltött fájlokra. A PromptArmor szerint támadási forrásként szolgálhatnak támogatási jegyek, webes tartalmak, vagy akár harmadik féltől származó összekötőkön keresztül bejuttatott adatok is. A webes keresés kikapcsolása a Rovo-nál sem nyújt teljes védelmet, mivel a beépített „UrlReadTool” továbbra is aktív marad, és képes külső szerverekre adatokat küldeni.

A PromptArmor egy második adatátviteli útvonalat is talált: a Rovo AI-kimeneteiből származó Markdown képek biztonságolatlan renderelése szintén adatlopáshoz vezethet. A cég május 23-án jelentette a sebezhetőséget az Atlassian-nak, amely két nappal később esetszámot rendelt hozzá, de június 4-én és július 29-én tett későbbi megkeresésekre sem válaszolt. Augusztus 5-i publikálásuk dátumáig a Rovo továbbra is sebezhető maradt.

A prompt-injekciós problémák továbbra is megoldatlan kihívást jelentenek az AI biztonság területén. Hasonló sebezhetőségeket figyeltek meg korábban a Microsoft Copilot és az Anthropic AI rendszereiben is. A PromptArmor a nyilvánosságra hozatallal a felhasználók kockázatokra való figyelmét kívánja felhívni.