PromptArmor ha divulgado públicamente vulnerabilidades en Atlassian Rovo, el agente de inteligencia artificial integrado en Jira y Confluence, que permiten extraer datos sensibles de una organización mediante inyección indirecta de prompts. El ataque no requiere aprobación humana y se ejecuta a través de la herramienta de recuperación de URL de Rovo, que carece de protecciones frente a URLs generadas dinámicamente por el propio agente.
El mecanismo es el siguiente: el usuario sube a Rovo un archivo —por ejemplo, descargado de internet— que contiene una instrucción oculta. Cuando formula una consulta aparentemente inocua, como organizar tickets de Jira, la inyección manipula al agente para que concatene datos sensibles a una URL controlada por el atacante y la abra. El registro del servidor atacante captura la información. El ataque funciona aunque la búsqueda web esté deshabilitada en la organización, porque esa configuración no elimina la herramienta de apertura de resultados. Adicionalmente, Rovo renderiza imágenes Markdown sin restricciones, otro vector conocido de exfiltración.
Cualquier dato accesible para el agente —tickets, documentos de Confluence, conectores de terceros— puede ser comprometido. PromptArmor notificó las vulnerabilidades a Atlassian el 23 de mayo de 2026; la compañía asignó un número de caso y agradeció el aviso, pero tras más de dos meses sin respuesta, los fallos siguen sin corregir, lo que ha motivado la divulgación pública.