Alerta de segurança em Rovo da Atlassian revela vetores de exfiltração de dados de usuários autenticados por URL e conteúdo carregado

Dois equipamentos de segurança independentes descreveram em julho e agosto de 2026 formas diferentes em que Rovo – o assistente de IA integrado em produtos da Atlassian – pode ser induzido a extrair dados aos quais um usuário autenticado já tem acesso e enviá-los para um servidor externo controlado por um atacante. O achado confirmado e fechado pela Atlassian envolve uma cadeia ativa de um parâmetro de URL (rovoChatPrompt); outro, publicado por uma assinatura diferente, descreve uma injeção de instruções ocultas dentro de conteúdo que Rovo processa e cujo estado de remediação não foi confirmado publicamente pelo fabricante no momento das comunicações originais..

Atos confirmados: Varonis Threat Labs relatou que um parâmetro de URL (rovoChatPrompt) podia pré-carregar instruções maliciosas em Rovo Chat de modo que um usuário autenticado que clique em um link execute essas instruções com seus privilégios e o assistente exfiltre dados; esse relatório foi divulgado através de Bugcrowd, e o registro de Bugcrowd indica que a Atlassian colocou um arranjo server‐side em 8 de julho de 2026 e que o pesquisador validou a correção. Em separado, o PromptArmor publicou em 5 de agosto de 2026 um teste de conceito em que um arquivo postado com instruções ocultas provocava que Rovo procurasse conteúdo interno e abrisse um URL externo com esses resultados, sem uma aprovação adicional explícita por parte do usuário. A correção do vetor baseado em ligação está confirmada; o estado da cadeia baseada em conteúdo foi descrito pelo seu descubridor como não resolvido quando a publicou. Além disso, as buscas públicas em bases de dados de vulnerabilidades indicadas pelos próprios pesquisadores (por exemplo, NVD e catálogo de CISA) não mostravam identificadores ou entradas associadas a essas falhas em 8 de agosto de 2026 ( NVD, CISA KEV).

Como funcionam tecnicamente as cadeias descritas: Rovo atua com as permissões do usuário autenticado e pode consultar Jira, Confluence e conectores externos de acordo com a configuração e alcances autorizados. Na variante detectada por Varonis, um parâmetro de URL pré-inyecta um prompt completo na sessão de Rovo; com apenas um clique de um usuário autenticado, o assistente executa essas instruções, recolhe informações acessíveis para o usuário (por exemplo, tickets ou páginas) e a incorpora na rota de uma imagem ou um pedido que Rovo obtém —essa solicitação chega ao servidor atacante onde fica registrado. Na variante publicada pelo PromptArmor, o atacante inseriu instruções dentro de um arquivo carregado pelo usuário; Rovo tratou parte do conteúdo do arquivo como diretrizes e realizou buscas internas e um pedido enviado a um URL construído com os resultados. Em ambos os casos não se demonstra uma elevação de privilégios: o que sai é o que o usuário autenticado já podia ver, mas sem que o usuário tenha aprovado conscientemente a exfiltração.

O que isso implica e quem afeta: a principal repercussão é exfiltração de dados a quem um usuário legítimo tem acesso sem que esse usuário tenha iniciado explicitamente a transferência. Não se trata de um bypass de permissões a nível tenant que permita ver informações fora do alcance normal do usuário, mas de um novo vetor pelo qual dados autorizados podem sair da organização. Em organizações onde Rovo está habilitado por defeito (documentado pela Atlassian para planos Standard, Premium e Enterprise) qualquer pessoa com acesso a essas funções poderia inadvertidamente ativar uma dessas cadeias. O risco é maior em ambientes com conectores amplos (SharePoint, Outlook, API keys em Confluence, etc.), nos quais um único usuário pode consultar dados sensíveis.

O que está confirmado e o que não: confirmado está que a cadeia via parâmetro de URL foi relatada, corrigida pela Atlassian e validada pelo pesquisador; confirmado também está que PromptArmor publicou um teste de conceito e afirmou que seu método funcionou ainda com a opção de "web search" desativada em Rovo. Não confirmado está se a Atlassian aplicou mudanças adicionais após 5 de agosto que mitiguem a rota descrita por PromptArmor; também não há, nas divulgações públicas originais, evidência de exploração real em ambientes de clientes. Também não havia, a 8 de agosto, entradas públicas em NVD ou catálogo de CISA associadas a essas cadeias.

Medidas concretas que deveriam tomar administradores e usuários inmediatamente: 1) Rever quais apps e grupos têm habilitado Rovo: em organizações com controles de administração, limitar Rovo aos grupos estritamente necessários e desativá-lo em apps que não exijam inteligência assistida. 2) Não confiar apenas no toggle de “web search”: PromptArmor mostrou que Rovo pode compor e recuperar URLs de forma diferente; trate esse toggle como uma camada, não como uma barreira completa. 3) Restringir e auditar conectores: reduzir o alcance de conectores (SharePoint, Outlook, outros) e aplicar o princípio de menor privilégio em credenciais e API keys. 4) Supervisar eixos de saída e registros de proxy: habilitar logging detalhado de saídas HTTP/HTTPS, revisar pedidos de saída gerados por assistentes e procurar padrões de fetch para domínios externos inesperados. 5) Implementar controles de egress e DLP para bloquear ou alertar quando conteúdo com dados sensíveis é enviado fora de domínios permitidos. 6) Rotar credenciais expostas em testes e rever auditoria de acessos recentes se houver suspeita de exposição. 7) Consultar o status de mitigação com Atlassian e manter sistemas atualizados; peça esclarecimentos sobre se fixes adicionais foram aplicados ao comportamento de recuperação de URLs composto pelo agente.

Recomendações técnicas adicionais para equipamentos de segurança: desativar a renderização automática de imagens remotas em conteúdos gerados pela IA quando possível (isto reduz um canal de exfiltração via URLs de imagens em Markdown), forçar a validação de domínios externos por uma lista branca, e praticar testes internos de rede-team destinados a injeções de prompt contíguas a conteúdo subido. Para desenvolvedores e administradores de identidade, monitorar atributos de sessão e bloquear ações que envolvam fetch de recursos externos desde sessões com scopes elevados sem aprovação explícita.

Em resumo: uma vulnerabilidade baseada em parâmetro de URL foi confirmada e corrigida pela Atlassian; uma segunda técnica, de injeção dentro de conteúdo que o assistente processa, foi divulgada publicamente e sua remediação não foi documentada nas comunicações originais. A exposição real é a saída de dados que o usuário já pode ver, não uma escalada de privilégios por defeito, mas isso não reduz a urgência: em ambientes onde os participantes IA estão integrados com múltiplas fontes internas, a capacidade de um único usuário filtrar informações silenciadas ou inadvertida pode ser significativa. As organizações devem agir sobre configuração, permissões, registo e egress para mitigar o risco enquanto esperam esclarecimentos e adesivos definitivos do fornecedor.