Descoberta e escopo da vulnerabilidade RovoBlast
Uma vulnerabilidade crítica de injeção de prompt, denominada RovoBlast, foi identificada na ferramenta de inteligência artificial empresarial da Atlassian, o Rovo. Esta falha permite que atacantes exfiltrem dados sensíveis diretamente de ambientes Jira, Confluence, SharePoint e outros serviços conectados sem aprovação explícita do usuário.
O Rovo é o assistente de IA da Atlassian, projetado para pesquisar, resumir e executar ações em toda a plataforma. Seu valor reside no amplo acesso ao contexto organizacional, mas essa mesma característica cria um risco significativo quando conteúdo controlado pelo atacante é tratado como instruções confiáveis.
A Atlassian abordou a questão relatada no lado do servidor após divulgação responsável, com a correção implantada em 8 de julho de 2026. No entanto, a natureza da falha destaca desafios persistentes na segurança de assistentes de IA corporativos.
Mecanismo de exploração e parâmetro rovoChatPrompt
O ataque RovoBlast explorou um parâmetro de URL chamado rovoChatPrompt. Este parâmetro permitia pré-preencher o chat do Rovo com um prompt específico quando um usuário autenticado abria um link especialmente crafted.
Segundo pesquisadores da Varonis, o assistente processava o texto fornecido dentro da sessão autenticada da vítima, efetivamente concedendo ao atacante o mesmo contexto e acesso disponíveis para o usuário. O ataque não exigiu jailbreak, credenciais roubadas ou bypass de permissão demonstrado; em vez disso, dependeu de injeção de parâmetro para prompt (P2P injection).
Uma vítima precisava apenas clicar em um link malicioso enquanto estava logada na Atlassian. O Rovo então podia buscar fontes de dados que o usuário já tinha autorização para acessar e resumir os resultados, expondo informações confidenciais.
Impacto e alcance dos dados expostos
É importante notar que o RovoBlast não concedia ao atacante acesso irrestrito a todo o tenant da Atlassian. As permissões existentes do usuário autenticado limitavam os dados expostos. Ainda assim, muitos funcionários têm acesso a tickets confidenciais do Jira, páginas internas do Confluence, chaves de API, planos de projeto, registros de clientes e documentação de resposta a incidentes.
Uma única sessão comprometida poderia, portanto, expor informações comerciais valiosas. As capacidades autônomas do Rovo aumentaram ainda mais o impacto. O ResearchAgent do Rovo pode realizar tarefas de pesquisa e navegação em vários passos, permitindo que um assistente de IA recupere conteúdo interno, o transforme e o comunique a um destino externo com pouca interação adicional do usuário.
Análise técnica e riscos de IA empresarial
A descoberta destaca um desafio mais amplo de segurança de IA empresarial. Assistentes de IA combinam cada vez mais acesso a dados privados, exposição a conteúdo não confiável e a capacidade de usar ferramentas externas ou sites. Essa combinação pode transformar um link ordinário, documento, comentário ou aplicativo conectado em um ponto de entrada para injeção de instrução.
Equipes de segurança devem tratar assistentes de IA como camadas de acesso privilegiado, e não como interfaces de chat simples. Organizações devem revisar as permissões do Rovo, desconectar conectores não utilizados e restringir o acesso a repositórios altamente sensíveis, como legal, RH, finanças e registros de incidentes de segurança.
Recomendações para CISOs e governança de IA
As organizações devem limitar recursos de navegação agêntica e automação onde esses recursos não são operacionalmente necessários. O monitoramento é igualmente importante: equipes devem revisar logs de atividade de IA, investigar execuções de agente incomuns e testar se entradas externas podem influenciar o comportamento da IA em seu ambiente.
O treinamento de conscientização do usuário deve cobrir cenários de phishing habilitados por IA e links maliciosos. O RovoBlast demonstra que o risco de IA empresarial não é apenas sobre o comportamento do modelo, mas sobre fronteiras de confiança. Quando um assistente de IA pode ler dados sensíveis, impersonar um usuário legítimo e interagir com serviços externos, uma única entrada mal classificada pode levar à exposição silenciosa de dados.
Perguntas frequentes
- A correção já está disponível? Sim, a Atlassian corrigiu a vulnerabilidade no lado do servidor em 8 de julho de 2026.
- É necessário redefinir senhas? Embora a falha não envolva roubo direto de credenciais, a exposição de dados sensíveis exige revisão de acessos e possível revogação de tokens de sessão ativos.
- Como proteger assistentes de IA? Implemente políticas de menor privilégio para conectores de IA, monitore logs de atividade e restrinja o acesso a dados críticos.