Ingat ketika SEO black-hat memenuhi halaman web dengan kata kunci putih di atas putih—tidak terlihat oleh pembaca, dapat dibaca oleh Google—untuk memanipulasi peringkat pencarian? Para peretas kini melakukan hal yang sama dengan model AI. Penyerang menyembunyikan instruksi di dalam dokumen PDF, model tidak dapat membedakan antara kata-kata pengguna dan kata-kata yang ditanamkan, dan model mematuhinya.

Menurut pengungkapan PromptArmor, Rovo—agen Atlassian yang terintegrasi dengan Jira, Confluence, dan seluruh ruang kerja Anda—dapat diubah menjadi jalur data dengan satu berkas yang diracuni. Korban meminta Rovo untuk mengatur beberapa tiket, mengunggah dokumen, dan dokumen tersebut membawa prompt tersembunyi (misalnya instruksi yang ditulis dengan warna transparan dan ukuran font 1 piksel).

Mata tidak dapat melihatnya, tetapi Agen mengenali teks itu sebagai teks lain dalam dokumen. Prompt itu memerintahkan Rovo untuk mengumpulkan data sensitif dan menempelkannya ke URL yang dikendalikan penyerang. Perusahaan menyebutnya serangan tanpa klik (zero-click attack). Tidak ada klik persetujuan, dan tidak ada peringatan.

Injeksi prompt adalah ketika seseorang menyelipkan instruksi ke dalam konten yang sedang dibaca AI, membajaknya dari operator aslinya. "Tidak langsung" berarti 'racun' tersebut berada di dalam berkas atau halaman web, bukan di dalam kotak obrolan. Tugas Rovo adalah membaca dan bertindak atas informasi tersebut, sehingga baris tersembunyi yang berbunyi "kirim tiket rahasia ke sini" terbaca oleh model sebagai perintah yang sah.

PromptArmor mengatakan kebocoran ini "berhasil bahkan jika sebuah organisasi telah menonaktifkan pencarian web untuk Rovo. Ini karena pengaturan pencarian web gagal menghapus alat untuk membuka hasil pencarian." Matikan fiturnya, dan pintunya tetap terbuka.

Rovo bukanlah alat untuk hobi. Ia berada di atas data proyek perusahaan yang paling sensitif, dan bertindak secara mandiri. Agen AI yang dibangun di atas GPT-5 dan Gemini gagal menahan injeksi prompt lebih dari 79% dalam uji coba langsung—dan Rovo menunjukkan versi tidak langsungnya masuk ke produk perusahaan yang sudah dirilis. Pola ini terus berulang dengan agen yang dapat membaca dan bertindak diarahkan ke arah yang salah.

Atlassian memproses laporan tersebut dan mengucapkan terima kasih kepada PromptArmor, kata perusahaan itu, lalu membisu. Rovo, PromptArmor menyimpulkan, "tetap rentan."

"Atlassian menetapkan nomor kasus dan menyampaikan terima kasih, namun setelah beberapa kali tindak lanjut oleh PromptArmor selama lebih dari dua bulan, Atlassian tidak melakukan komunikasi lebih lanjut, dan Rovo tetap rentan," tulis perusahaan tersebut.