Un asistente de IA tan bien integrado que se convirtió en un riesgo
Atlassian Rovo se posiciona como un "compañero de equipo con IA": agrega datos de Jira, Confluence, SharePoint, Slack, Google Workspace y más de cincuenta plataformas adicionales para responder preguntas de los empleados. Precisamente esa integración profunda lo convirtió en un objetivo atractivo para los investigadores de seguridad.
Dos vulnerabilidades distintas, divulgadas a principios de agosto de 2026, demuestran que la promesa de productividad viene acompañada de una superficie de ataque sin precedentes, y que los controles de seguridad tradicionales no logran detectarla.
RovoBlast: un parámetro de URL como detonador
La primera vulnerabilidad, bautizada RovoBlast por los investigadores de Varonis Threat Labs y presentada en DEF CON 34, aprovecha un parámetro de URL llamado rovoChatPrompt. Este parámetro permitía precargar el chat de Rovo con instrucciones arbitrarias que el asistente ejecutaba como si provinieran del propio usuario.
El ataque no requiere ningún jailbreak ni la explotación de vulnerabilidades tradicionales. Basta con que un usuario autenticado haga clic en un enlace manipulado. Rovo actúa entonces a través de su componente ResearchAgent, una herramienta interna capaz de navegar de forma autónoma entre los sistemas conectados y enviar datos hacia URLs externas. El resultado: tickets de Jira, páginas de Confluence y documentos de SharePoint podían ser transferidos silenciosamente a un servidor controlado por el atacante.
Atlassian corrigió RovoBlast en el servidor el 8 de julio de 2026, antes de que Varonis publicara sus hallazgos. Cabe destacar que estos mismos investigadores ya habían descubierto una falla similar —denominada "Reprompt"— en Microsoft Copilot en enero de 2026. El vector de ataque "parámetro a prompt" no parece ser exclusivo de un fabricante en particular: estamos ante una categoría de vulnerabilidad emergente en los asistentes de IA empresariales.
La vulnerabilidad sin corregir: inyección mediante archivo cargado
La segunda vulnerabilidad, descubierta por la empresa PromptArmor, sigue un camino diferente. Un atacante embebe instrucciones maliciosas ocultas en un documento de apariencia ordinaria —una guía de backlog, un acta de sprint—. Cuando un empleado le pide a Rovo que analice ese archivo, el asistente obedece las instrucciones ocultas y construye URLs que contienen datos sensibles extraídos de Jira o Confluence. Al atacante solo le queda consultar los registros de su propio servidor.
Lo que hace especialmente preocupante esta variante es que funciona incluso cuando la búsqueda web está desactivada en la configuración de la organización. Deshabilitar esa opción no elimina la herramienta de recuperación de URLs subyacente que Rovo utiliza para construir las solicitudes de exfiltración.
PromptArmor notificó a Atlassian el 23 de mayo de 2026. Tras más de dos meses de seguimiento sin respuesta ni corrección, la empresa publicó sus conclusiones el 5 de agosto para alertar a los equipos de TI. En el momento de esa publicación, la vulnerabilidad seguía sin corregirse.
Cuando los controles de administración ya no son suficientes
Estos dos incidentes plantean una pregunta estructural para los equipos de TI y seguridad: ¿cómo auditar lo que un asistente de IA puede hacer con los datos internos de la empresa, cuando los controles de interfaz no reflejan las capacidades reales del agente subyacente?
Los WAF, DLP y SIEM no están diseñados para interceptar solicitudes formuladas en lenguaje natural por un agente de IA hacia sus conectores. Y los permisos otorgados a Rovo a través de sus más de cincuenta conectores no son simples permisos de lectura: constituyen una superficie de recopilación unificada que cualquier prompt malicioso puede activar en cuestión de segundos.
Antes de extender las conexiones de un asistente de IA a todo el patrimonio informativo de la organización, resulta imprescindible realizar un inventario de las herramientas realmente accesibles por el agente —no solo las declaradas en la interfaz de administración— como requisito previo de seguridad en sí mismo.