Investigadores de Varonis demostraron en DEF CON 34 cómo inyectar instrucciones maliciosas en el asistente de IA empresarial sin necesidad de jailbreak ni técnicas complejas
Atlassian Rovo, el asistente de IA empresarial que se conecta a Slack, Microsoft 365 y Google Workspace, contenía una vulnerabilidad que permitía a un atacante acceder a información corporativa sensible mediante un enlace diseñado específicamente para explotar el parámetro rovoChatPrompt. La falla fue reportada a través del programa de bug bounty en Bugcrowd y ya fue corregida por la compañía, pero el caso expone un patrón de riesgo estructural en asistentes de IA con acceso transversal a múltiples plataformas: cuando fallan los controles de entrada, el alcance del daño se mide por la cantidad de sistemas que el asistente puede tocar de forma legítima.
Cómo un parámetro de chat se convirtió en vector de ataque
El investigador de Varonis Dolev Taler demostró en DEF CON 34 que el ataque, denominado RovoBlast, requería únicamente que la víctima hiciera clic en un enlace especialmente diseñado. Ese enlace insertaba instrucciones controladas por el atacante directamente en una sesión de Rovo Chat mediante el parámetro rovoChatPrompt, que el sistema trataba como entrada confiable dentro de la sesión del usuario. No se necesitó jailbreak, doble solicitud ni cirugía de prompts: el clic bastaba para sembrar las instrucciones maliciosas, y las capacidades autónomas del agente ejecutaban el ataque en su totalidad.
La mecánica del ataque se apoyaba en que Rovo procesa parámetros externos sin validación suficiente, lo que permitía que un atacante dictara qué información buscar y cómo moverla. Varonis encontró que Rovo puede enumerar y buscar datos en más de 50 plataformas, incluyendo Jira, Confluence, Bitbucket, Slack, Google Workspace, Microsoft 365, bases de datos relacionales, archivos cargados, páginas web y archivos comprimidos. Todo lo que Rovo tiene permiso para ver, el atacante podía alcanzar sin comprometer credenciales directamente, porque la actividad lucía como una operación legítima del asistente en nombre del usuario.
El ResearchAgent como herramienta de exfiltración autónoma
Varonis evaluó si las capacidades de agente de Rovo podían convertir el acceso a información corporativa en una ruta de exfiltración efectiva. La respuesta fue afirmativa. Rovo incluye un componente llamado ResearchAgent, capaz de realizar investigación web autónoma en múltiples pasos y navegar entre sitios de forma independiente. En las pruebas de Varonis, esto creó una cadena en la que Rovo podía recuperar información de fuentes internas y moverla hacia un destino externo sin intervención adicional del atacante.
Taler señaló que Rovo incluye automatización integrada que acelera la exfiltración una vez que el asistente es manipulado. La combinación de acceso amplio, capacidad de navegación autónoma y procesamiento de instrucciones externas sin validación robusta convirtió a RovoBlast en un caso donde el guardarraíl de IA falló y la escalada del daño quedó habilitada por diseño. Varonis comparó este ataque con otros casos recientes como SearchLeak, EchoLeak, ShadowLeak y Antigravity, todos ejemplos de un patrón común: entradas no confiables, comportamiento autónomo y comunicación considerada confiable generan exposición de datos seria cuando se combinan.
Por qué Rovo no puede eliminarse completamente del entorno
Taler advirtió que Rovo no puede ser completamente desinstalado de los entornos organizacionales. Las organizaciones que intentan eliminar el riesgo pueden no ser capaces de eliminar la presencia de Rovo ni la superficie de ataque asociada, lo que hace que la validación de entrada y los controles de seguridad sean aún más críticos. Esta característica de permanencia forzada amplifica el problema: si una herramienta con acceso transversal no puede ser removida, la única defensa es reducir su alcance operativo.
Varonis recomendó medidas más allá del parche: limitar los sistemas conectados a Rovo, mantener áreas altamente sensibles como legal, recursos humanos, finanzas y respuesta a incidentes fuera del alcance del asistente, y deshabilitar la navegación web o la automatización de múltiples pasos que las organizaciones no necesiten activamente. La lógica es directa: cuanto menos pueda ver el asistente, menos puede filtrar, independientemente de inyección de prompts o abuso de agente. En América Latina, donde empresas medianas y grandes han adoptado Atlassian como columna vertebral de gestión de proyectos y colaboración técnica (especialmente en Argentina, Brasil, Chile y México), el acceso de Rovo a Jira, Confluence y Bitbucket significa que un solo clic podría exponer roadmaps de producto, documentación de arquitectura, credenciales en comentarios de código y datos de clientes almacenados en tickets de soporte, todo sin que el atacante necesite comprometer directamente ninguna de esas plataformas.
Nuestro análisis
RovoBlast no es un caso aislado de falla de validación de entrada: es un ejemplo de cómo el diseño de asistentes de IA empresariales con acceso transversal convierte una vulnerabilidad puntual en un riesgo sistémico. La diferencia entre un bug de inyección de prompts en un chatbot aislado y uno en Rovo es la superficie de datos alcanzable: más de 50 plataformas conectadas significan que el radio de explosión de un solo clic se mide en gigabytes de información corporativa potencialmente expuesta. El patrón que Varonis identificó en SearchLeak, EchoLeak, ShadowLeak, Antigravity y ahora RovoBlast es consistente: cuando un asistente de IA procesa entradas externas como confiables y tiene capacidades autónomas para moverse entre sistemas, la combinación crea una ruta de exfiltración que no requiere técnicas avanzadas de ataque.
Lo que todavía no sabemos es cuántas organizaciones habían habilitado Rovo con acceso completo a sistemas sensibles antes del parche, ni si hubo explotación en la práctica antes de la divulgación pública en DEF CON 34. Atlassian no respondió a la solicitud de comentarios de CSO Online, lo que deja sin confirmar si la compañía tiene telemetría de intentos de explotación o si planea cambios arquitectónicos más profundos en cómo Rovo valida parámetros externos. La imposibilidad de desinstalar completamente Rovo plantea una pregunta estructural: ¿cuántas herramientas de IA empresarial están diseñadas con permanencia forzada y acceso amplio por defecto, asumiendo que los guardarraíles de validación nunca fallarán?