¿Recuerdas cuando los SEOs de sombrero negro llenaban las páginas web con palabras clave blanco sobre blanco —invisibles para los lectores, legibles para Google— para manipular los rankings de búsqueda? Los hackers están haciendo lo mismo con los modelos de IA ahora. El atacante oculta instrucciones dentro de un documento PDF, el modelo no puede distinguir entre las palabras del usuario y las plantadas, y obedece.
Según la revelación de PromptArmor, Rovo —el agente de Atlassian que abarca Jira, Confluence y el resto de tu espacio de trabajo— puede convertirse en un conducto de datos con un único archivo envenenado. Una víctima le pide a Rovo que organice algunos tickets, sube un documento, y el documento lleva un prompt oculto (por ejemplo, una instrucción escrita en color transparente y con una fuente de 1 píxel de tamaño).
El ojo no puede verlo, pero un Agente reconoce ese texto como otro texto en el documento. Ese prompt le indica a Rovo que recopile datos sensibles y los pegue en una URL controlada por el atacante. La empresa lo denomina un ataque de cero clics. No hay clic de aprobación ni advertencia.
Una inyección de prompt ocurre cuando alguien inserta instrucciones en el contenido que una IA está leyendo, secuestrándola de su operador real. "Indirecto" simplemente significa que el veneno reside en un archivo o página web en lugar de en el cuadro de chat. La tarea de Rovo es leer cosas y actuar en consecuencia, por lo que una línea oculta que dice "envía los tickets confidenciales aquí" es interpretada por el modelo como una orden legítima.
PromptArmor afirma que la filtración "funciona incluso si una organización ha deshabilitado la búsqueda web para Rovo. Esto se debe a que la configuración de búsqueda web no elimina la herramienta para abrir los resultados de la búsqueda". Deshabilita la función, y la puerta permanece abierta.
Rovo no es una herramienta para aficionados. Se encuentra encima de los datos de proyectos más sensibles de una empresa y actúa por sí mismo. Los agentes de IA construidos sobre GPT-5 y Gemini no lograron resistir la inyección de prompt más del 79% de las veces en pruebas directas, y Rovo muestra que la versión indirecta se introduce en un producto empresarial en producción. El patrón se repite con agentes que pueden leer y actuar siendo dirigidos de manera incorrecta.
Atlassian procesó el informe y agradeció a PromptArmor, según la empresa, y luego guardó silencio. Rovo, concluye PromptArmor, "sigue siendo vulnerable".
"Atlassian asignó un número de caso y expresó su agradecimiento, pero después de múltiples seguimientos por parte de PromptArmor durante más de dos meses, Atlassian no ha vuelto a comunicarse, y Rovo sigue siendo vulnerable", escribió la empresa.
