Instruções controladas por um atacante podem levar o assistente Rovo, da Atlassian, a coletar dados do Jira ou do Confluence aos quais um usuário autenticado tenha acesso e, em seguida, enviá-los para um servidor externo. Duas empresas de segurança encontraram esse comportamento de forma independente, por caminhos diferentes. Apenas um desses caminhos está confirmado como fechado.
A PromptArmor, empresa de segurança em IA, escondeu as instruções dentro de um conteúdo que o Rovo lê. Segundo a companhia, um arquivo enviado já bastava para fazer o assistente reunir dados internos e enviá-los por uma solicitação de URL, sem etapa separada de aprovação.
A empresa publicou o relato em 5 de agosto de 2026 e afirmou que a cadeia ainda funcionava mesmo com a opção de pesquisa na web do Rovo desativada. Esse desvio foi descrito em uma única fonte, e o relatório só comprova o estado da falha naquela data. Uma correção posterior não está confirmada aqui.
A Varonis Threat Labs inseriu as instruções em um link. A empresa descobriu que o parâmetro de URL rovoChatPrompt podia carregar instruções do atacante no Rovo Chat, de modo que um único clique de um usuário autenticado já era suficiente para fazer o Rovo executá-las com os privilégios desse usuário e enviar os resultados para um servidor controlado pelo atacante.
A Varonis chama a falha de RovoBlast e afirma tê-la divulgado pelo Bugcrowd. O registro no Bugcrowd mostra que a Atlassian corrigiu o problema do lado do servidor em 8 de julho de 2026, e o pesquisador validou a correção.
Nenhum dos problemas exige um patch para o cliente instalar. A falha no link foi encerrada pela Atlassian, e o controle para a via baseada em conteúdo está em limitar quais apps e grupos podem usar o Rovo.
O arquivo que carrega ordens
A cadeia da PromptArmor é um ataque indireto de injeção de prompt. Nesse tipo de cenário, texto controlado pelo atacante é inserido dentro de um conteúdo que o assistente é instruído a usar, e o modelo trata parte desse texto como instruções.
No exemplo publicado pela empresa, um usuário envia um documento com uma injeção oculta e pede ao Rovo para organizar suas tarefas do Jira. O Rovo pesquisa Jira e Confluence, como solicitado, acrescenta o que encontra a uma URL do atacante e abre o endereço. Em seguida, o atacante lê o conteúdo das tarefas e das páginas nos logs do próprio servidor.
A PromptArmor disse que, quando o usuário retorna à conversa depois, vê as sugestões de atualização das tarefas, sem sinal da exfiltração.
A interação não é descrita de forma clara como zero-click. Ainda é preciso que a vítima exponha o Rovo ao conteúdo comprometido e faça uma solicitação normal. A alegação mais restrita da PromptArmor é que a etapa de exfiltração não exige uma aprovação humana separada.
O achado sobre a pesquisa na web importa porque a Atlassian oferece esse recurso como uma configuração separada, em nível organizacional, que permite ampliar as fontes do Rovo para sites públicos. A PromptArmor afirmou que desativar essa opção não impediu sua cadeia, porque a solicitação de saída usou uma capacidade separada de recuperação de URL.
A empresa resumiu a causa raiz de forma direta: nada verifica se a URL aberta foi construída pelo próprio agente. O relatório também observa que o Rovo renderiza imagens em Markdown a partir da saída do modelo, o que criaria uma segunda via para a saída de dados, embora não demonstre uma cadeia completa pelo Rovo nesse caminho. O desvio da pesquisa na web permanece atribuído à PromptArmor e não como reprodução independente.
A página da Atlassian para essa configuração não informa se uma solicitação composta e buscada pelo próprio assistente entra no mesmo controle. Essa é a dúvida levantada pelo achado para quem tenta medir o valor real da opção.
A PromptArmor disse ter comunicado o problema à Atlassian em 23 de maio de 2026, recebeu um número de caso dois dias depois, fez novos contatos em 4 de junho e em 29 de julho, e publicou o relato após o que descreveu como ausência de novas respostas.
Não encontra-se atualização pós-publicação desse relatório até 8 de agosto de 2026, e o texto ainda descrevia o Rovo como vulnerável no momento da divulgação. Isso ocorreu quase um mês após a correção de 8 de julho, e nenhuma das divulgações diz se essa mudança atingiu a via baseada em conteúdo.
A falha no link, de um clique, está corrigida
O registro no Bugcrowd traz a documentação mais sólida entre os dois casos, e a Varonis publicou uma análise mais completa do ataque.
O parâmetro rovoChatPrompt podia carregar um prompt completo em uma URL do Rovo. A prova de conceito instruía o Rovo a localizar informações que a vítima pudesse acessar, colocá-las no caminho de uma URL de imagem controlada pelo atacante e buscar a imagem. Essa solicitação entregava os dados ao servidor do atacante.
O pesquisador demonstrou a exfiltração de uma chave de API privada do Confluence, e o Bugcrowd informa que a mesma técnica de um clique foi testada contra o Jira e contra dados acessíveis por conectores do SharePoint e do Outlook.
O relatório recebeu classificação P2 na escala de prioridade do Bugcrowd e gerou uma recompensa de US$ 6.000. A Atlassian implantou a correção do lado do servidor em 8 de julho, e o registro foi marcado como resolvido.
Nenhuma das divulgações traz um identificador CVE, e buscas no NVD e no catálogo de Vulnerabilidades Conhecidas Exploradas do CISA não retornaram nenhum caso para qualquer um dos problemas até 8 de agosto de 2026.
Permissões e o que pode ser desativado
O acesso de dados do Rovo segue as permissões configuradas nos produtos da Atlassian e nos aplicativos de terceiros conectados. O risco demonstrado, portanto, envolve dados que a vítima autenticada pode alcançar, e não uma quebra comprovada de autorização em todo o ambiente.
As demonstrações acrescentam uma rota para que dados permitidos saiam do ambiente, sem que a pessoa detentora dessas permissões escolha enviá-los. Essa distinção deve orientar a forma como o risco é classificado, e não reduzi-lo. Em um assistente deliberadamente integrado aos produtos da Atlassian e a apps de terceiros conectados, o alcance de uma única conta é o comportamento esperado do sistema.
O Rovo vem ativado por padrão nos apps dos planos Standard, Premium e Enterprise, e todos na organização podem usar seus recursos, segundo a documentação da Atlassian. Os administradores não ficam restritos a uma escolha do tipo tudo ou nada.
As organizações podem bloquear recursos do Rovo para apps compatíveis, o que desativa recursos atuais e futuros de IA para esse app, incluindo Agents e Chat. A experiência mais nova de acesso do Enterprise também permite administrar o Rovo por app e por grupo de usuários.
A Atlassian documenta uma ressalva: em um site com vários apps da família Jira, bloquear um deles não remove as capacidades compartilhadas. Rovo Search, Chat e Create with Rovo continuam disponíveis enquanto qualquer app Jira naquele site ainda tiver o Rovo ativado.
A falha no link já foi corrigida pela Atlassian, então a resposta imediata é mais limitada do que parece. Para o risco separado baseado em conteúdo, as organizações podem revisar quais apps e grupos têm acesso ao Rovo, reforçar as permissões subjacentes e o escopo dos conectores e evitar tratar a opção de pesquisa na web, sozinha, como uma fronteira de segurança completa.
Nenhuma das divulgações relata evidências de que qualquer uma das técnicas tenha sido usada contra uma organização real. Isso é uma afirmação sobre o conteúdo dos dois relatórios, e não uma conclusão de que tal atividade nunca tenha ocorrido.
Um caminho está confirmado como fechado. A PromptArmor disse que o outro seguia sem correção quando publicou em 5 de agosto. O status depois dessa data continua sem confirmação.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...