Biały tekst na białym tle. Jak agenci AI w Atlassian Rovo stają się szpiegami
Wystarczy jeden spreparowany plik PDF, by firmowy asystent AI zaczął wynosić dane na zewnątrz. Badacze z PromptArmor odkryli, że Atlassian Rovo, narzędzie mające ułatwiać pracę w systemach Jira i Confluence, można łatwo zmanipulować za pomocą ukrytego tekstu. To nie jest zwykły błąd w kodzie, ale fundamentalna słabość modeli językowych, które bezkrytycznie wykonują instrukcje zaszyte w dokumentach.
Dlaczego to ważne teraz
Wdrożenie agentów AI wewnątrz korporacyjnych baz wiedzy tworzy nowe, słabo rozpoznane pole bitwy. Jak zauważają eksperci z Palo Alto Networks Unit 42, „prompt injection pozostaje jednym z najpotężniejszych i najbardziej wszechstronnych wektorów ataku”. Problem staje się palący, bo firmy masowo dają algorytmom dostęp do wrażliwych danych projektowych, często bez odpowiedniej izolacji uprawnień.
Mechanizm ataku: Gdy system przestaje słuchać użytkownika
Atak typu indirect prompt injection wykorzystuje fakt, że modele LLM nie odróżniają poleceń administratora od treści analizowanego pliku. W przypadku Rovo złośliwy dokument nadpisuje pierwotne zadanie agenta. Zamiast streszczać raport, narzędzie zbiera informacje o zgłoszeniach w Jirze — w tym priorytety, opisy błędów i nazwiska pracowników — a następnie przesyła je na serwer atakującego, umieszczając ukryte obrazy w formacie Markdown.
Co gorsza, haker wcale nie musi mieć dostępu do konta pracownika. Badacze z Cato CTRL wykazali w swoim dowodzie koncepcji (PoC), że nawet anonimowy użytkownik może wywołać złośliwe działania poprzez systemy wsparcia typu Jira Service Management (JSM). Wyłączenie dostępu do internetu nie zawsze pomaga: narzędzia systemowe, takie jak „UrlReadTool”, pozostają aktywne, służąc jako kanał dla wycieku informacji.
Wada konstrukcyjna branży
Atlassian nie jest jedyną firmą z tym problemem. Podatności dotyczą również Microsoft Copilot oraz rozwiązań opartych na modelach Claude i GPT. Badania wskazują, że niemal wszystkie popularne czytniki PDF pozwalają ukryć treść na co najmniej kilka sposobów. „Ryzyko, które zademonstrowaliśmy, nie dotyczy konkretnego dostawcy — chodzi o pewien schemat” — podkreślają badacze z Cato CTRL.
Mimo że Atlassian wie o luce od maja 2024 roku, skuteczne łatanie architektury opartej na LLM jest niezwykle trudne. Podstawową metodą ochrony pozostaje obecnie rygorystyczne ograniczanie uprawnień agentów i filtrowanie typów wejścia. Dopóki dostawcy nie odizolują twardo instrukcji od danych, każda integracja AI z firmowym archiwum będzie przypominać wpuszczanie do biura pracownika, który słucha każdego polecenia — nawet tego podrzuconego przez nieznajomego w formie niewidocznego dopisku na kartce.
