重點

資安研究員 PromptArmor 報告指出，Atlassian 的 Rovo AI 助手可以被操縱，透過在上傳的檔案（例如 PDF）內隱藏指示來外洩敏感資訊。 此方法不需要使用者批准 — 單一受污染的檔案即可觸發資料外洩。 此漏洞在關閉網路搜尋時仍然有效，因為開啟 URL 的能力仍然可用，而在揭露兩個月後，Atlassian 尚未公開修補該弱點。

情緒分析

• 整體情緒為中偏負面，強調資安風險與廠商未採取行動的問題。具體關切包括易於被利用、可能取得敏感企業資料，以及廠商回應緩慢的情況。語氣結合了對實際影響的警示與適度的技術說明。
  70%

文章內容

資安研究員 PromptArmor 揭露了 Atlassian 的 Rovo AI 助手存在一個漏洞，攻擊者可以在上傳的文件（例如 PDF）中隱藏指示，使助理在未經明確使用者批准的情況下外洩資料。該技術依賴於嵌入對人類不可見或難以閱讀的文字——例如使用透明文字或極小字體——但在 AI 處理文件時仍會被解讀。由於 Rovo 會閱讀並根據文件內容採取行動，隱藏的指示會被視為合法命令，並可指示助理蒐集機密資訊並將其傳送到攻擊者控制的端點。

研究人員將此描述為零點擊或間接提示注入攻擊。所謂間接是指惡意指示被置於檔案或網頁中，而非直接輸入聊天中。Rovo 作為工作區代理，可存取並操作 Jira、Confluence 及其他內部資料來源，使其影響重大：攻擊者只需一個受污染的檔案和使用者的一般請求——例如請 Rovo 整理工單並上傳支援文件——即可觸發資料外洩。

關鍵的是，PromptArmor 發現關閉 Rovo 的網路搜尋功能並不能防止此漏洞。網路搜尋設定未移除助理開啟 URL 的工具，因此即使看似關閉了網路搜尋，代理仍能存取被注入提示中嵌入的攻擊者控制連結。簡言之，切換該功能並未關閉研究人員所利用的通道。

PromptArmor 引述的測試與針對 AI 代理的更廣泛研究顯示一個令人擔憂的模式：能夠閱讀內容並採取行動的助理常常無法區分使用者意圖與惡意嵌入的指示。在受控實驗中，一些先進模型在高比例上未能抵抗提示注入，Rovo 示範了企業產品如何繼承相同弱點。文件攝取與自動行動路徑的結合形成了強大的攻擊面。

在 5 月 23 日收到 PromptArmor 的通報後，Atlassian 承認已收到提交並指派了案件編號，但研究人員表示兩個月後並無實質後續或公開緩解措施。PromptArmor 指出 Rovo 「仍然存在漏洞」，引發了對廠商在影響客戶資料安全的揭露事件中反應速度的擔憂。此情況凸顯了保護在敏感企業系統中運作的 AI 代理所面臨的更大挑戰：修補模型行為、更新工具，並確保設定切換確實移除能力，這些都必須做到才能降低風險。

針對此類攻擊的緩解措施包括更嚴格地清理與驗證上傳檔案、移除或強化任何會在未獲得使用者確認下將文件內容轉為可執行命令的自動功能，以及在開發與部署前對間接提示注入進行更完整的測試。此外，資安團隊應假定任何將富內容轉換為機器可解讀指示的元件都可能成為濫用的向量，並相應地應用最小權限原則。

將指示隱藏的技術讓人聯想到早期的 SEO 技巧，當時文字對人類不可見但對搜尋引擎可讀；不過當目標是有權存取內部系統的自主代理時，後果更為嚴重。 關鍵見解是：對人類不可見並不等於對模型不可見——這個差距可以被利用來將資料從安全環境移出。 使用能夠攝取文件的代理的組織應檢視其設定與威脅模型，廠商則應優先修正以確保關閉功能時真能移除相關能力。

關鍵見解表