Výzkumníci z Varonis Threat Labs představili útok RovoBlast, který zneužíval podnikového AI asistenta Rovo k tichému vytažení citlivého obsahu z celého pracovního prostředí firmy.

Atlassian Rovo funguje jako vrstva umělé inteligence nad Jirou, Confluence, Bitbucketem a propojenými nástroji třetích stran včetně Slacku, Microsoft 365 a Google Workspace. Součástí Rovo jsou i agentní funkce schopné bez dalšího zásahu uživatele dokončit vícekrokové úkoly, a právě tato schopnost útok RovoBlast umožnila.

Zranitelnost nevyžadovala žádný jailbreak ani obcházení oprávnění. Stačilo, že asistent bral parametr v URL adrese jako důvěryhodný vstup. Konkrétně šlo o parametr rovoChatPrompt, který dokáže obsah rovnou předvyplnit do chatovacího okna Rovo. Varonis tento typ útoku označuje jako parameter-to-prompt injection a stejnou techniku už dříve popsal u Microsoft Copilotu pod názvem Reprompt. Výzkumníci navíc zjistili, že pole s identifikátorem organizace v odkazu šlo ponechat prázdné a Atlassian přesto požadavek doručil do výchozí organizace oběti, aniž by cokoli signalizovalo, že relace byla nastartována zvenčí.

Skutečný únik dat pak zajišťoval ResearchAgent, jeden z vestavěných nástrojů Rovo schopný samostatně procházet web a čerpat z více zdrojů najednou. Jakmile útočníkův prompt jednou proklouzl skrze odkaz, tentýž nástroj dokázal získaná interní data rovnou odeslat ven, a to celé v jediném automatizovaném řetězci bez dalšího zásahu útočníka. Když se výzkumníci zeptali Rovo, k jakým datům má přístup, odpověď zahrnovala Jiru, Confluence, Bitbucket, Slack, Google Workspace, Microsoft 365, relační databáze, nahrané soubory, webové stránky i archivovaný obsah. V praxi předvedli tři scénáře exfiltrace: stránky z Confluence, tikety z Jiry a obsah SharePointu obsahující osobní údaje. Ve všech případech stačil jediný odkaz, na který oběť klikla, bez nutnosti řetězit další kroky nebo obcházet dodatečné pojistky.