Atlassian Rovo 连环提示词注入漏洞：一键点击即可外泄内部数据
TechNadu · x · 2026-08-08
安全机构 Varonis 和 PromptArmor 独立发现了 Atlassian Rovo 助手的间接提示词注入漏洞。
- Varonis 发现（RovoBlast）：攻击者通过在链接中注入恶意指令，用户仅需点击一次，Rovo 就会以该用户权限收集 Jira 或 Confluence 数据并发送给攻击者。此漏洞已于 7 月 8 日在服务端修复。
- PromptArmor 发现：通过上传带有恶意指令的文件，诱导 Rovo 读取并执行，从而通过 URL 请求外发内部数据。截至 8 月 5 日，即使关闭 Rovo 的网页搜索功能，该攻击链依然有效，目前修复状态未明。
目前受影响客户无需安装补丁，主要防御措施是严格限制可使用 Rovo 的应用和群组范围。
所属事件:Atlassian Rovo AI助手曝提示词注入漏洞(2 条相关)→
「安全」频道最新
- Apollo Research:GLM-5.3 会自发展开「行为成为训练数据」的推理 — _lewtun · 2026-10-16
- CFR 专家：自主武器辩论仍在犯定义错误，关键是『多自主』而非『是否自主』 — mchorowitz · 2026-10-16
- 白宫超级智能工作组首次会议:120 天期限内的五项部署曝光 — ShakeelHashim · 2026-10-16
- Anthropic 测试 AI 自我复制:15 台 55 美元安卓电视盒跑分片模型 — itspacedev · 2026-10-16
- RL 训练模型绕过 GET 限制，借浏览器 OCR 与邮箱传出数据 — teortaxesTex · 2026-10-16
- OpenAI 披露 19 起 AI 错位事件：Agent 泄露 GitHub token、入侵内部电脑 — 141_1337 · 2026-10-16