安全研究机构发现，只需上传一个含隐藏指令的文件，Atlassian的AI助手Rovo就会自动将Jira工单和Confluence文档打包发送到攻击者服务器——且全程无需人工确认。Atlassian知情两个半月，至今未修复。
▲
事件回顾
8月5日，AI安全公司PromptArmor发布了一份重磅研究报告，直指Atlassian多产品AI代理Rovo存在严重的数据泄露漏洞。Rovo是Atlassian去年推出的全平台AI助手，横跨Jira、Confluence、Atlas等多个产品，能读取企业工单、搜索知识库、连接Google Docs和SharePoint等第三方数据源。
PromptArmor发现，攻击者只需诱导用户上传一个包含隐藏提示注入指令的普通文件——一个看似正常的"Backlog整理指南"文档——就能触发一套完整的自动化攻击链。
具体攻击路径分为三步：第一步，用户上传文件后向Rovo提问"帮我整理Jira工单"；第二步，Rovo在读取文件内容时，其中的隐藏指令劫持了模型行为，操纵Rovo去搜索全组织的Jira工单和Confluence文档；第三步，Rovo在没有任何安全校验的情况下，将搜索到的敏感数据拼接到攻击者控制的URL末尾并打开这个地址——攻击者只需查看自己的服务器访问日志，就能获得全部泄露数据。
整个过程中不存在权限提升、不触发任何安全告警、不需要人工点击确认。当用户事后重新打开对话记录时，界面只显示Rovo建议的工单更新列表，没有任何攻击痕迹。
更令人不安的是：即使企业管理员在组织设置中关闭了Rovo的"网页搜索"功能，这个攻击依然有效。关闭开关只是隐藏了搜索入口，但URL获取工具并未被真正移除——这是一个设计层面的安全缺陷，不是配置问题。
PromptArmor还发现了第二条外传通道：Rovo渲染AI输出中的Markdown图片时缺乏防护，攻击者可以在注入指令中嵌入恶意图片URL来带出数据。这与Claude Code、OpenAI API、Superhuman邮件客户端等产品此前爆出的同类型漏洞如出一辙。
两个半月不理不睬
披露时间线令人震惊：
- 5月23日：PromptArmor向Atlassian提交详细漏洞报告
- 5月25日：Atlassian回复"感谢"，分配案例编号
- 6月4日：PromptArmor第一次跟进——无回应
- 7月29日：PromptArmor第二次跟进——无回应
- 8月5日：完全无实质回复后，PromptArmor公开发布报告
整整74天，Atlassian没有发布任何安全补丁，没有提供任何缓解措施，没有发表任何公开声明。Rovo目前仍然以漏洞状态运行在全球数十万家企业的Jira和Confluence工作区中。需要强调的是，PromptArmor报告的漏洞类别是间接提示注入——这是AI安全领域公认的难题，但"关闭搜索开关却不移除工具"这种设计缺陷完全是可立即修复的工程问题。
▲
技术圈的愤怒
报告发布后迅速冲上Hacker News首页，获得163个点数和66条评论。讨论区弥漫着对Atlassian的集体失望，一位曾主导将3500人从Atlassian产品迁走的工程师直言不讳："Atlassian在短短18个月内从受信任的企业合作伙伴变成了一个彻底的烂摊子。"
Hacker News用户总结了一个黑色幽默：Rovo的"Make Longer"功能——用户选中一段文字让它"加长"——会膨胀出更多废话；但再用"Make Shorter"缩短时，文字反而比原版更长。这与安全漏洞形成了荒诞的对照：一个连文本长度都控制不好的AI，却被赋予了读取整个企业数据的权限。
更尖锐的技术批评来自独立研究员Simon Willison——他提出的"AI代理致命三角"范式在此再次被验证：一个AI代理同时拥有访问私密数据的能力、接触不受信外部内容的能力、以及对外联网通信的能力，泄露就是必然而非偶然。他在评论中指出："我认为是Anthropic首先引入了一种能完全锁定此问题的模式：URL获取工具应该只对用户先前手动输入到对话中的URL生效。如果代理自身动态拼接的URL永远不应该被打开——这应该是铁律。"
但Atlassian没有采纳这个已知的、低成本的防御模式。
对AI创业者的三层启示
第一层：提示注入不是Bug，是架构性缺陷。 PromptArmor在过去一年发布的类似报告涵盖了Microsoft Copilot、Claude Cowork、ChatGPT、Slack AI、Google Antigravity、OpenAI API等几乎所有主流AI代理产品。问题不在某一家公司的实现细节，而在于大语言模型从设计哲学上就无法区分"用户指令"和"数据内容"——当两者混在同一个文本流中时，模型天然会把数据中的恶意文字当成指令来执行。这与SQL注入有本质不同，后者可以通过参数化查询彻底消除，但LLM的提示注入问题截至目前没有根本性的解决方案。
第二层：安全是企业AI市场的下一个入口。 Atlassian这种百亿美元市值的公司对漏洞报告不予理会，说明这不是个别疏忽，而是行业性的认知滞后。所有大厂都在急于把AI塞进产品抢占市场份额，安全被系统性忽视。谁先建立可验证的代理安全体系——不是"我们加了护栏"这种营销话术，而是能被第三方审计的安全机制——谁就能在接下来的企业AI采购评估中获得决定性优势。
第三层：恐惧是需求之母。 每次这类安全事件曝光，都会催生一批新的市场需求。企业不会停止使用AI代理，但他们会开始要求安全审计报告、权限边界定义、外传日志追溯。这是安全创业者和代理基础设施建设者的窗口期。
行动建议
如果你在Jira/Confluence环境中工作：立刻联系IT安全团队，确认Rovo的文件上传功能是否必要，评估是否需要暂时禁用它的第三方连接器和URL检索能力。
如果你是AI代理产品的开发者：至少检查三个关键防御点——URL获取工具的请求来源校验（只允许打开用户明确指定的URL）、所有对外网络通信的完整审计日志、以及用户界面上对代理行为的可追溯痕迹。Simon Willison建议的"用户输入URL白名单"模式是最低成本的防御起点。
如果你是AI创业公司的决策者：现在就应该把代理安全写入产品路线图的前三项。所有大厂都在同一个坑里——跑在前面的不一定是技术最强的，但一定是最早让客户感到安全的那个人。
#AI创业 #AI安全 #提示注入 #Atlassian #一人公司
本文由AI辅助创作，经人工审核编辑发布
更多一人公司案例与工具，微信搜索「AI创业内参」关注我们