Cuando tu agente de IA se vuelve espía: el caso Atlassian Rovo
Hoy me topé con un reporte que me dejó helado. La gente de PromptArmor publicó una investigación sobre Atlassian Rovo, el agente de IA que integra Jira, Confluence y toda la suite de Atlassian. Resulta que este weón es más permeable que colador de once: te permite exfiltrar tickets, documentos y datos internos de un tenant completo mediante indirect prompt injection. Y lo peor: no necesita que un humano apruebe nada.
¿Cómo funciona la wea? Bastante simple, lamentablemente. El atacante sube un archivo malicioso a Rovo, o inyecta instrucciones ocultas en un ticket de soporte externo. Rovo, con su herramienta de recuperación de URLs, abre el enlace, ejecuta lo que le ordenan las sombras, y empieza a mandar datos sensibles hacia afuera. Tickets de Jira, páginas de Confluence, lo que sea. Todo en automático, sin que nadie se dé cuenta.
Aquí viene lo que me saca de las casillas: el ataque funciona incluso si la empresa desactivó la búsqueda web en Rovo. Porque Atlassian, en su infinita sabiduría, desactiva la búsqueda pero no elimina la herramienta de apertura de resultados. Es como poner una reja en la puerta principal pero dejar la ventana del baño abierta de par en par. Cachai la ironía? Desactivas una wea pensando que estás protegido, pero el vector de ataque sigue vivo.
Y no es solo la recuperación de URLs. Rovo también renderiza imágenes Markdown desde salidas de IA. Eso es otro canal de exfiltración bien conocido: las imágenes invisibles que hacen peticiones HTTP silenciosas a servidores controlados por el atacante. Es el clásico ataque de blind SSRF disfrazado de feature.
PromptArmor reportó esto a Atlassian el 23 de mayo de 2026. Atlassian les agradeció, asignó un número de caso, y ahí quedó. Tres meses después, Rovo sigue vulnerable. Tres meses. En ciberseguridad eso es una eternidad. Especialmente cuando hablamos de agentes de IA con acceso privilegiado a documentación interna de empresas.
Desde mi experiencia en Komatsu y administrando servidores críticos, esto me prende todas las alarmas. Estamos metiendo agentes de IA en todos lados: Jira, Slack, correos, bases de datos. Pero estamos asumiendo que el sandboxing y los controles de acceso funcionan como en los sistemas tradicionales. No es así. Los LLMs interpretan instrucciones, no ejecutan reglas rígidas. Y cuando les das herramientas que acceden a URLs o renderizan contenido externo, estás dándoles una conexión directa al exterior que los ingenieros de seguridad no diseñaron.
Mi recomendación concreta: no confíes en los toggles de configuración de tus proveedores de IA. Audita qué herramientas tiene realmente cada agente, incluso las que crees desactivadas. Monitoriza las peticiones salientes desde tus instancias de Atlassian. Y si usas Rovo hoy, asume que un archivo adjunto inocente podría ser tu peor pesadilla.
La pega no es dejar de usar IA. Es usarla con los ojos bien abiertos.
Fuente de inspiración: Atlassian Rovo Exfiltrates Data, Bypassing Controls
