La inyección de instrucciones suele parecer un truco de laboratorio contra un chatbot de prueba. El informe de PromptArmor sobre Atlassian Rovo es más útil porque muestra un riesgo real de empresa: un asistente de IA lee datos privados, procesa contenido no fiable y todavía conserva una vía para contactar con una dirección externa. Ahí debe estar el límite de seguridad.

Asistente de IA detenido por una puerta de seguridad antes de enviar documentos empresariales a una red externa

PromptArmor publicó su informe el 5 de agosto de 2026. Según los investigadores, Rovo podía ser manipulado para enviar contenido de tickets de Jira y documentos de Confluence a un sitio controlado por un atacante mediante una instrucción oculta. También afirman que avisaron a Atlassian el 23 de mayo, recibieron un número de caso el 25 de mayo, hicieron seguimientos en junio y julio, y publicaron tras más de dos meses sin una corrección pública ni más comunicación. Al preparar este texto no encontré una respuesta pública de Atlassian que contradijera el informe.

Eso no significa que todos los clientes de Atlassian hayan sufrido una fuga. El material público describe una cadena de ataque demostrada, no explotación masiva confirmada. La reacción correcta no es el pánico, sino tratar a los asistentes de IA dentro del software empresarial como programas con permisos de datos y capacidades de red.

El riesgo está en lo que puede leer y enviar

Rovo es la capa de IA de Atlassian para Jira, Confluence y servicios conectados. Atlassian lo presenta como un asistente que conoce el negocio, reúne contexto de personas, proyectos y código, y se conecta con aplicaciones SaaS externas. La página de conectores menciona Google Drive, GitHub, GitLab, Microsoft SharePoint, Outlook Mail, Gmail, Zendesk, Box, Dropbox, Figma, Azure DevOps, ServiceNow, Slack y otros servicios.

Ese es el valor del producto y también su modelo de riesgo. Jira y Confluence suelen contener hojas de ruta, incidencias de clientes, notas de seguridad, planes de ingeniería, procedimientos internos y enlaces a otros sistemas. Un asistente útil necesita ese contexto. Un asistente seguro necesita reglas estrictas sobre dónde puede acabar ese contexto.

Las páginas de confianza de Atlassian dicen que se respetan los permisos de la plataforma y de los conectores si están configurados correctamente. También explican que los conectores administrados no están activos por defecto y que se pueden usar listas de inclusión o exclusión para ciertas fuentes como Google Drive o SharePoint. Son controles importantes, pero no responden por completo a la pregunta de PromptArmor: ¿puede el asistente tomar datos que tenía permiso para leer y colocarlos en una solicitud externa construida por el modelo?

La cadena descrita

Primero entra contenido no fiable en un lugar que el asistente puede leer. En el ejemplo de PromptArmor es un archivo con instrucciones ocultas, pero los investigadores dicen que el mismo patrón podría venir de tickets de soporte, documentos externos, aplicaciones conectadas o datos web si la búsqueda está activa.

Después el usuario pide una tarea normal, como ordenar tickets. Rovo consulta Jira y Confluence porque esa es su función. La instrucción oculta intenta hacer que el asistente añada contenido sensible a una dirección externa. Luego la herramienta que abre URL visita esa dirección, y el servidor receptor puede registrar los datos.

El detalle clave es la herramienta de apertura de URL. PromptArmor afirma que el ataque funciona incluso con la búsqueda web desactivada, porque esa opción no elimina la herramienta que abre resultados. En términos simples: apagar la función visible de búsqueda no siempre apaga todos los caminos de red que puede usar el asistente.

No basta con culpar al modelo

Decir que el modelo “obedeció una mala instrucción” es una explicación demasiado cómoda. El modelo opera dentro de un sistema de herramientas. Si ese sistema le da datos privados y una vía de comunicación externa, el juicio del modelo no debe ser el control principal.

La fórmula de Simon Willison ayuda: datos privados, contenido no fiable y comunicación externa. Dos elementos pueden ser manejables. Los tres juntos crean una vía de fuga. Rovo no es único: el mismo patrón puede aparecer en agentes de navegador, asistentes de programación, herramientas de oficina, bots de soporte y buscadores internos.

La defensa debe ser determinista. Una herramienta que abre direcciones no debería visitar cualquier URL construida por el modelo. Es más seguro permitir solo direcciones escritas por el usuario o devueltas por un componente fiable, y bloquear parámetros que puedan contener datos internos. Las imágenes remotas en Markdown también son llamadas de red y pueden actuar como balizas.

Qué muestran los documentos de Atlassian

Los materiales públicos de Atlassian confirman que Rovo trabaja con aplicaciones Atlassian y fuentes externas. También indican que los resultados respetan permisos y que los administradores pueden desactivar funciones de IA en la administración. Pero la misma documentación señala que algunas funciones no generativas, como Rovo Search, no se pueden desactivar.

Esa distinción importa. Un ajuste controla generación, otro búsqueda, otro indexación de conectores y otro permisos de usuario. El informe de PromptArmor trata de una ruta de herramienta que puede quedar disponible aunque se desactive la búsqueda web. Por eso no conviene asumir que un único interruptor cierra todas las capacidades internas.

Qué se sabe y qué no

Se sabe que PromptArmor afirma haber demostrado extracción de datos de Jira y Confluence mediante una instrucción oculta y una herramienta de URL. Se sabe que, según los investigadores, no hacía falta aprobación humana después de que el contenido malicioso entrara en el contexto. Se sabe que Atlassian presenta Rovo como un asistente amplio con conectores a sistemas importantes.

No hay prueba pública de robo masivo de datos de clientes. No está claro si Atlassian ya aplicó una corrección silenciosa. Tampoco encontré un CVE o aviso público de Atlassian para este caso concreto. Esas incertidumbres reducen el ruido, pero no eliminan la necesidad de revisar controles.

Lista para administradores

Compruebe si Rovo y las funciones de IA de Atlassian están activas en su organización. Revise la consola real del tenant, no solo la página de producto.

Haga inventario de conectores. Preste especial atención a repositorios amplios de documentos, código, soporte y correo: Google Drive, SharePoint, GitHub, GitLab, Zendesk, ServiceNow, Gmail y Outlook. Un conector razonable para búsqueda puede ser más arriesgado si el asistente mezcla sus resultados con instrucciones no fiables y solicitudes externas.

Aplique mínimo privilegio. No conecte una raíz completa de Drive o SharePoint si basta una lista limitada de carpetas. Revise grupos, invitados, contratistas y cuentas antiguas.

Pregunte a Atlassian algo concreto: si la búsqueda web está desactivada, ¿puede Rovo abrir una URL construida por el modelo? Si puede, ¿se puede apagar, limitar a fuentes fiables o auditar cada solicitud?

Bloquee direcciones externas construidas por el modelo cuando sea posible. Use registros de red, proxy o reglas de prevención de fugas para detectar datos sensibles en parámetros de salida. Trate imágenes remotas, vistas previas y Markdown como solicitudes de red. Exija aprobación humana para comunicaciones externas que contengan datos internos.

Lista para usuarios

No suba archivos externos aleatorios a un asistente conectado a tickets y documentos sensibles. Tenga cuidado al pedir a un asistente con privilegios que resuma adjuntos de clientes, documentos de proveedores o páginas desconocidas. Si el asistente intenta abrir enlaces externos, inserta referencias extrañas a imágenes o produce texto que parece una instrucción oculta, avise al equipo responsable.

El mensaje central es sencillo: “el modelo debería saber que no debe filtrar datos” no es un control de seguridad. El control debe estar en la capa de herramientas. Para un asistente con acceso a Jira, Confluence, correo, documentos y código, la pregunta no es si parece inteligente. La pregunta es qué puede leer, qué puede mostrar, qué puede llamar, adónde puede enviar datos y quién puede auditarlo.