Una nueva RovoBlast vulnerabilidad puesta en conocimiento por Varonis Threat Labs muestra lo rápido que evoluciona el riesgo en las herramientas de inteligencia artificial. El problema se centra en Rovo, el asistente de IA empresarial de Atlassian, y permite que un atacante, mediante un enlace especialmente preparado, siembre instrucciones directamente dentro de una sesión activa del usuario.
Lo llamativo del caso es que el ataque no depende de “jailbreaks” ni de saltarse controles con técnicas de bypass. En lugar de eso, se aprovecha de un detalle clave: la IA trata parámetros externos como si fueran entradas confiables.
Qué es Rovo y por qué es relevante para la seguridad
Rovo funciona como una capa de IA que se integra con herramientas empresariales. En el alcance descrito, Rovo conecta con ecosistemas como Jira, Confluence y Bitbucket, además de plataformas de terceros como Slack, Microsoft 365 y Google Workspace.
Además, incorpora capacidades de “agentes” que pueden ejecutar tareas de varios pasos con poca o ninguna intervención adicional del usuario. Según la investigación, esa automatización es precisamente lo que facilita que una cadena de acciones termine extrayendo información sensible.
Cómo funciona la RovoBlast vulnerabilidad: de parámetro a prompt
El mecanismo técnico reportado por los investigadores utiliza un parámetro en la URL denominado rovoChatPrompt. Este parámetro rellena contenido de forma previa en la ventana de chat de Rovo, de manera que el asistente recibe ese texto como parte de la conversación.
Varonis describe la ruta de ataque como un patrón de “parameter-to-prompt” (P2P) injection, es decir, que un valor controlado por el atacante termina transformándose en instrucciones para el modelo dentro del flujo conversacional.
Otro punto crítico del informe indica que el componente “organization ID” de la URL puede dejarse en blanco y aun así Atlassian enruta la solicitud hacia la organización predeterminada del propio usuario. Lo más preocupante desde el punto de vista operacional es que no se observan alertas o indicadores claros de que la sesión haya sido “sembrada” con contenido externo.
Sin bypass ni jailbreak: qué lo hace especialmente peligroso
En muchos incidentes relacionados con IA, el atacante necesita lograr que el sistema “rompa” reglas o eluda restricciones mediante prompts diseñados para ese fin. En cambio, en la RovoBlast vulnerabilidad el informe señala que no hace falta:
- Realizar bypass de permisos.
- Ejecutar jailbreak para forzar el comportamiento.
- Encadenar múltiples pasos de elusión.
La razón es simple: la IA considera confiables los parámetros que llegan desde el enlace, y con ello acepta instrucciones como si fueran parte legítima de la sesión del usuario.
Qué datos pudo ver la IA en la prueba
Para estimar el “alcance” del ataque, los investigadores pidieron a Rovo que indicara qué información podía visualizar. La respuesta, según el reporte, abarcó un conjunto amplio de recursos:
- Contenido y activos de Jira, Confluence y Bitbucket.
- Canales o datos de Slack.
- Capacidades sobre Google Workspace y Microsoft 365.
- Bases de datos relacionales, archivos cargados, páginas web y contenido archivado.
Esta lista es relevante porque no se limita a un repositorio aislado: el diseño de Rovo como asistente conectado a múltiples plataformas permite que una sola puerta de entrada se traduzca en visibilidad transversal.
El papel de ResearchAgent en la exfiltración
El problema no se quedó en una “respuesta” del asistente. La filtración efectiva se atribuye a ResearchAgent, una de las herramientas internas con la que Rovo puede ejecutar investigación multi-fuente y navegar por sitios arbitrarios.
En el escenario descrito, una vez que el atacante consigue que el prompt malicioso quede sembrado mediante el enlace, esa misma capacidad automatizada le permite a Rovo recuperar datos internos y publicarlos o enviarlos hacia destinos externos en una sola cadena de acciones.
En otras palabras: la amenaza no depende de que el usuario “extraiga” información manualmente, sino de que el sistema haga el trabajo por su cuenta una vez aceptadas las instrucciones.
Escenarios de prueba y prueba de concepto
El equipo demostró la técnica en tres escenarios de prueba. Los casos de concepto que se reportan incluyen:
- Exfiltración de páginas de Confluence.
- Extracción de tickets de Jira.
- Obtención de contenido de SharePoint con información personal.
Un dato que subraya la gravedad es que, de forma general, un solo enlace sembrado bastó para desencadenar la fuga. No fue necesario combinar múltiples solicitudes ni añadir pasos adicionales de manipulación.
Qué recomendó Varonis para reducir el riesgo
Tras divulgar el reporte a Atlassian, la vulnerabilidad fue corregida antes de hacerse público el análisis. Aun así, los investigadores recomiendan medidas para limitar el “radio” de impacto en caso de exposición o recurrencia de patrones similares.
Entre las recomendaciones se incluyen:
- Restringir qué sistemas puede alcanzar Rovo.
- Desconectar integraciones que no se utilicen.
- Proteger áreas sensibles, como legal, recursos humanos y finanzas.
- Desactivar navegación o automatizaciones de varios pasos si no son necesarias.
- Implementar monitoreo rutinario de los registros de actividad del asistente.
Estas acciones se alinean con un enfoque defensivo: reducir privilegios, disminuir superficies de integración y aumentar la visibilidad operacional.
Respuesta de Atlassian y contexto sobre el tipo de ataque
Un portavoz de Atlassian señaló que la seguridad de los datos de los clientes es una prioridad. Indicó que trabajan con clientes para implementar controles protectores y que se trata de una responsabilidad continua, con inversión en soluciones adicionales.
Además, el comunicado menciona que para que la vulnerabilidad sea explotada, el usuario con acceso a una instancia de Atlassian debe proporcionar contenido no confiable con un enfoque de prompt injection hacia Rovo. También se remarcó que este tipo de ataque afecta a sistemas de IA en toda la industria.
Como parte de la postura general, Atlassian enfatiza prácticas de seguridad similares a las de ataques tipo phishing: validar la procedencia del contenido que se introduce en las aplicaciones.
Por qué esto importa para tu organización
Más allá del caso puntual, la RovoBlast vulnerabilidad ilustra un riesgo recurrente en entornos con IA conectada a sistemas internos: cuando un asistente puede ejecutar tareas y acceder a múltiples fuentes, la entrada “equivocada” puede convertirse en una acción real.
Si tu organización utiliza asistentes con integración a herramientas de trabajo, la prioridad pasa por revisar permisos, limitar alcance, controlar integraciones y observar señales en los logs. Al final, la seguridad no solo depende de “qué tan inteligente es” la IA, sino de cómo se confían sus entradas y salidas.
Conclusión
La divulgación de RovoBlast vulnerabilidad deja una lección clara: un enlace malicioso puede sembrar instrucciones en una sesión de IA y activar automatizaciones capaces de acceder y exfiltrar información. Aunque Atlassian corrigió el problema, las organizaciones deben reforzar controles para minimizar el acceso de la IA a sistemas, reducir integraciones innecesarias y mantener vigilancia sobre la actividad del asistente.
