作者：韩启明｜OC 政策与安全编辑

据安全公司 PromptArmor 披露，Atlassian Rovo 会读取上传文档里的隐藏提示，把它能访问的 Jira 工单和 Confluence 文档拼进攻击者控制的 URL，再调用 URL 获取工具发出请求。研究者称，即使管理员已经关闭网页搜索，演示仍然成功。

一句话结论：这次攻击的关键不是模型被“说服”，而是同一个 Agent 同时拥有内部读取权限和不受约束的网络出站能力；只关闭搜索入口，没有撤掉底层 URL 工具，就没有真正切断数据出口。

攻击从一份看似正常的“Backlog Guide”文档开始。用户把文件上传给 Rovo，请它整理 Jira 待办。隐藏指令在模型检索 Jira 和 Confluence 时进入上下文，要求它把敏感内容附加到攻击者网址的查询参数中。Rovo 随后打开这个动态生成的网址，数据便出现在远端服务器日志里。

这条链路不需要用户批准发送动作。用户后来回到对话，只能看到正常的工单整理建议，攻击痕迹不会继续显示。PromptArmor 还称，Rovo 渲染模型输出里的 Markdown 图片，也可能形成第二条自动外联通道。

“关闭 Web Search”没有生效，是最值得企业管理员注意的细节。研究者认为，这个开关阻止了搜索，却没有移除用于打开搜索结果的网址工具。对用户来说两个功能都叫“上网”；对权限系统来说，一个是发现网址，一个是向任意网址发请求，后者才是数据泄露需要控制的能力。

PromptArmor 表示，它于 5 月 23 日向 Atlassian 披露问题，Atlassian 两天后分配了案例编号，但截至 8 月 5 日没有进一步回复。OC 尚未看到 Atlassian 对攻击链的公开确认或修复说明，因此当前应把“仍可利用”视为研究者的测试结论，而不是独立验证过的生产事故。

企业不能只靠提示注入分类器解决这类风险。只要 Agent 同时处理外部文档和内部知识，注入总有漏检可能。更稳定的控制是限制出站域名、禁止模型把敏感字段放入 URL、把检索与外联拆到不同进程，并记录每一次工具调用的参数。

关键事实

• 攻击输入可以来自上传文件、外部工单、网页或第三方连接器
• Rovo 被诱导把 Jira 与 Confluence 内容放进攻击者网址的查询参数
• PromptArmor 称攻击不需要人工审批，关闭网页搜索后仍然有效
• 截至披露时，Atlassian 尚未公开回应研究者所述的完整攻击链

OC 判断

企业 Agent 的威胁模型不能再按“聊天机器人是否会说错话”设计。真正的控制点是数据从哪里进、工具能到哪里去，以及模型是否有权把二者连接起来。搜索开关只是产品设置，网络出站策略才是安全边界。

为什么重要

• 对开发者：所有可发起 HTTP 请求的工具都应采用精确域名白名单，并阻止敏感数据进入 URL。
• 对企业：Agent 读取 Jira、Confluence 和连接器数据后，权限应继承原用户且接受独立审计。
• 对用户：上传外部文件给企业 AI，可能让文件中的隐藏指令接触到用户能看的全部内部资料。

参考来源

• PromptArmor：Atlassian Rovo Exfiltrates Data, Bypassing Controls
• Atlassian：Rovo 管理与故障排查