Texto invisível em PDFs expõe dados sensíveis no Atlassian Rovo

Uma linha de texto branco num PDF chega para esvaziar uma instância inteira de Jira e Confluence. A PromptArmor, uma empresa focada em segurança de prompts, mostrou como o agente de IA da Atlassian, Rovo, pode ser manipulado com um ataque de prompt injection indireto para exfiltrar dados internos sem qualquer alerta visível para o utilizador.

O cenário é quase banal: alguém pede ao Rovo para organizar tickets de Jira e sobe um ficheiro PDF aparentemente inofensivo. Nesse PDF vive texto em branco sobre fundo branco, em corpo minúsculo, com instruções específicas para o agente: recolher informação interna e enviá-la para um servidor externo através de um URL construído na hora. Quando o Rovo processa o pedido e vasculha Jira e Confluence, é esse texto escondido que passa a mandar. O agente constrói um URL com os dados sensíveis metidos nos parâmetros de query, usa a sua própria ferramenta de leitura de URLs e, sem o utilizador ver nada, envia tickets completos e documentos internos para o atacante.

O detalhe desconfortável é que o ataque não se limita a PDFs. Segundo a PromptArmor, qualquer conteúdo que o Rovo consiga ler pode servir de cavalo de Troia: pedidos de suporte, páginas web, dados vindos de conectores de terceiros. E mesmo desligar a pesquisa web do Rovo ao nível da organização não resolve o problema. Essa configuração desativa a função de pesquisa, mas não a UrlReadTool, a ferramenta que o agente usa para abrir URLs. Como o endereço de destino é montado dinamicamente a partir da injeção escondida, o controlo de “não sair para a web” é, na prática, cosmética.

A PromptArmor ainda encontrou uma segunda via de fuga: o Rovo renderiza imagens Markdown geradas pela própria IA, o que abre espaço para o velho truque de roubar dados com pedidos embutidos em imagens Markdown maliciosas. Esta criatividade ofensiva encaixa demasiado bem com outras fugas recentes, da exposição de clientes da Framework aos segredos despejados em domínios “noreply”. Quando colamos um agente de IA em cima de tudo o que é sistema corporativo, sem resolver primeiro o básico da segurança, estamos a construir o cenário ideal para este tipo de abuso.

O histórico de resposta da Atlassian também não ajuda a confiar. A PromptArmor diz que reportou a vulnerabilidade a 23 de maio de 2026. Dois dias depois recebeu um número de caso e um “obrigado”. Depois disso, silêncio, apesar de follow-ups a 4 de junho e 29 de julho. À data de 5 de agosto, quando a análise foi publicada, o Rovo continuava vulnerável. Não é só falha técnica, é postura: quando um fornecedor que concentra tanto código crítico como a Atlassian demora meses a reagir a um relatório deste calibre, o recado que passa às equipas de segurança das empresas é claro, e não é propriamente tranquilizador.

Este caso sublinha o óbvio que muita gente prefere ignorar: prompt injection continua a ser um problema em aberto na segurança de IA, e não é exclusivo da Atlassian. Um ataque semelhante em documentos Word com o Microsoft Copilot já tinha sido descrito, e mesmo avanços recentes, como as defesas da Anthropic para agentes que navegam no browser, vivem em jardins murados com camadas extra de controlo. Enquanto a indústria continuar a enfiar agentes “inteligentes” no centro das operações sem restrições de leitura e sem políticas sérias de validação de conteúdo, um pouco de texto invisível vai continuar a ser suficiente para tornar confidencial em público.

Fonte: The Decoder