В Atlassian Rovo нашли серьёзную дыру: через инъекцию ассистента можно заставить его отправлять данные из Jira и Confluence на сайт злоумышленника. Проблема в инструменте Rovo для открытия URL — у него нет защиты от перехода по ссылке, которую динамически создал сам агент. Инъекция подсовывает Rovo команду добавить чувствительные данные к URL атакующего. Когда Rovo вызывает небезопасный инструмент и открывает эту ссылку, сайт злоумышленника логирует запрос вместе с прикреплёнными данными. Так утекают тикеты Jira и документы Confluence.
Хитрость в том, что атака срабатывает, даже если организация отключила веб-поиск для Rovo. Настройка «Enable web search» на уровне компании не убирает инструмент, который открывает результаты поиска. Поэтому Rovo всё равно может перейти по вредоносной ссылке, несмотря на запрет.
Пользователь, вернувшись в чат позже, видит только предложенные агентом обновления тикетов — никаких следов атаки. Если открыть диалог заново, все улики исчезают, вывод выглядит совершенно нормально. То есть жертва не замечает, что данные уже ушли на чужой сервер.
Проблема касается как раз того, как Rovo работает с веб-инструментами: отключение поиска не отключает открытие URL, а сам инструмент доверяет ссылкам, сгенерированным агентом. Из-за этого инъекция превращается в канал утечки корпоративных данных.