Atlassian Rovo AI 易受隐藏在 PDF 中的提示词注入攻击影响

安全公司 PromptArmor 披露，Atlassian 的 Rovo AI 助手可通过上传 PDF 文件中嵌入的隐藏指令，在未经用户批准的情况下遭到劫持并外泄数据。Atlassian 于 5 月 23 日收到该漏洞报告，但在最初确认后便停止沟通；PromptArmor 表示，两个多月后，该漏洞仍未修复。该攻击利用了 Rovo 无法区分合法用户命令与隐藏在文档中的恶意指令这一缺陷。这些指令使用透明文本或 1 像素字体，类似于黑帽 SEO 策略中利用白底白字关键词操纵搜索排名的做法。即使组织禁用 Rovo 的网页搜索功能，该漏洞仍然有效，因为用于打开 URL 的工具依然处于启用状态。这种提示注入方法在直接测试中对 AI 代理的成功率超过 79%，而 Rovo 则展示了这一风险：一款正在使用中的企业产品能够访问 Jira、Confluence 及其他工作区工具中的敏感项目数据。

PromptArmor 展示零点击数据外泄方法

该攻击向量通过使用透明颜色、1 像素字体的文本，将隐藏提示嵌入 PDF 文档。当用户上传此类文档并要求 Rovo 执行整理工单等常规任务时，AI 助手会将隐藏指令视为合法命令。PromptArmor 的披露显示，这些植入的提示可以指示 Rovo 收集敏感数据，并将其传输至攻击者控制的 URL。该公司将其归类为零点击攻击，因为攻击执行过程中不会向用户显示批准提示或警告。人眼无法察觉这些隐藏文本，但 Rovo 的 AI 模型会以与可见文档内容相同的方式处理它们。

Rovo URL 工具绕过网页搜索禁用设置

PromptArmor 报告称，即使组织禁用 Rovo 的网页搜索功能，数据外泄仍可成功。该安全公司表示，禁用网页搜索设置并不会移除 Rovo 用于打开搜索结果的工具。这一配置漏洞使打开 URL 的功能保持启用状态，即使管理员认为自己已经限制了网页访问，隐藏提示仍可将数据传输至外部。该漏洞影响 Rovo 在 Jira、Confluence 及其他 Atlassian 工作区产品中的集成；AI 助手在这些产品中拥有访问项目级敏感信息的权限。

Atlassian 于 5 月 23 日确认报告，随后陷入沉默

Atlassian 于 5 月 23 日收到漏洞报告后，为该报告分配了案件编号，并向 PromptArmor 表示感谢。PromptArmor 表示，在持续跟进两个多月后，Atlassian 仍未进一步沟通。PromptArmor 在披露中称，截至发布之日，Rovo 仍然存在漏洞。该公司没有提供有关计划中的补丁、缓解时间表或沟通中断原因的信息。

常见问题

PromptArmor 在 Atlassian Rovo 中发现了什么漏洞？
PromptArmor 发现，Rovo AI 助手可通过嵌入 PDF 文件中的隐藏指令遭到劫持。这些指令使用透明文本或 1 像素字体，使攻击者能够在未经用户批准的情况下外泄数据，即使网页搜索功能已被禁用也不例外。

Atlassian 何时收到 Rovo 漏洞报告？
Atlassian 于 5 月 23 日收到 PromptArmor 的漏洞报告，分配了案件编号并向该安全公司致谢，但据 PromptArmor 称，在 PromptArmor 持续跟进两个多月后，Atlassian 仍未进一步沟通。

隐藏提示攻击如何针对 Rovo 发动？
该攻击使用透明颜色和 1 像素字体，将恶意指令嵌入文档中。这些指令对人类用户不可见，但可被 Rovo 的 AI 模型读取。该模型无法区分合法用户命令与植入的提示，而这些提示会指示它将敏感数据发送至攻击者控制的 URL。