Rovo ของ Atlassian เปิดช่องรับข้อมูล Jira และ Confluence ให้โจมตี

Lead: นักวิจัยด้านความปลอดภัยสองทีมเปิดเผยว่าผู้โจมตีสามารถหลอกผู้ช่วย AI ของ Atlassัน — Rovo ให้ดึงข้อมูลจาก Jira หรือ Confluence** ที่ผู้ใช้ลงชื่อเข้าใช้งานได้ แล้วส่งต่อไปยังเซิร์ฟเวอร์ภายนอกได้ แม้ว่าเส้นทางการโจมตีหนึ่งจะได้รับการแก้ไขแล้ว ความบกพร่องนี้ย้ำถึงความท้าทายในการควบคุมอินพุตของแอปพลิเคชัน AI ที่ทำงานร่วมกับระบบองค์กร

Overview

Rovo เป็นผู้ช่วยเชิงโต้ตอบที่ Atlassian เปิดตัวเพื่อให้ผู้ใช้สามารถสื่อสารด้วยภาษาธรรมชาติเพื่อค้นหาและดำเนินการบนผลิตภัณฑ์ของบริษัท เช่น Jira และ Confluence การออกแบบมุ่งหมายให้เพิ่มประสิทธิภาพในการทำงานร่วมกัน แต่ในขณะเดียวกันก็เปิดช่องทางใหม่สำหรับการโจมตีที่อาจละเมิดข้อมูลสำคัญขององค์กร

จากรายงานของสถาบันความปลอดภัย AI อย่าง PromptArmor พบว่าเมื่อผู้ใช้ส่งไฟล์หรือข้อความที่ฝังคำสั่งพิเศษ Rovo จะทำการอ่านเนื้อหาเหล่านั้นโดยไม่ตรวจสอบอย่างเพียงพอ คำสั่งที่ซ่อนอยู่สามารถกระตุ้นให้ระบบดึงข้อมูลจากโปรเจกต์ Jira หรือหน้าเวิกีของ Confluence ที่ผู้ใช้มีสิทธิ์เข้าถึง แล้วส่งออกไปยัง URL ภายนอกที่โจมตีกำหนดไว้

การเปิดเผยนี้เกิดขึ้นในเดือนสิงหาคม 2026 ตามบทความบน The Hacker News ซึ่งอธิบายว่าปัญหานี้ไม่ได้จำกัดแค่หนึ่งรูปแบบของการฉีดคำสั่ง แต่มีสองเส้นทางที่ค้นพบโดยอิสระจากทีมวิจัยคนอื่น แม้ว่า Atlassian จะยืนยันว่าได้ปิดช่องทางแรกแล้ว แต่เส้นทางที่สองยังคงต้องได้รับการตรวจสอบเพิ่มเติม

Attack Vectors

ในรูปแบบแรกที่ PromptArmor รายงาน นักโจมตีใช้ไฟล์แนบที่อัปโหลดไปยังระบบ Rovo โดยฝังสคริปต์ที่ทำหน้าที่เป็น “คำสั่งอ่านข้อมูล” ลงในข้อความของไฟล์นั้น เมื่อผู้ช่วย AI ประมวลผลไฟล์ จะดึงข้อมูลจาก Jira หรือ Confluence ตามสิทธิ์ของผู้ใช้ที่อัปโหลด แล้วส่งต่อผ่าน HTTP POST ไปยังโดเมนที่โจมตีกำหนด

รูปแบบที่สองที่ทีมวิจัยอีกหนึ่งชุดพบเป็นการฝังคำสั่งในข้อความแชทธรรมดาที่ผู้ใช้พิมพ์เข้ามาโดยตรง ทีมงานระบุว่าคำสั่งเหล่านี้ถูกออกแบบให้ทำหน้าที่ “prompt injection” ทำให้ Rovo เชื่อว่าเป็นส่วนหนึ่งของการโต้ตอบตามปกติ และจึงดำเนินการดึงข้อมูลที่เกี่ยวข้องและส่งออกไปยังเซิร์ฟเวอร์ควบคุมโดยผู้โจมตี

• เส้นทางแรก: ไฟล์แนบที่มีคำสั่งฝังลึก
• เส้นทางสอง: ข้อความแชทที่ใช้เทคนิค prompt injection

ทั้งสองวิธีอาศัยการทำงานของ Rovo ที่รับอินพุตจากผู้ใช้โดยไม่มีขั้นตอนตรวจสอบสิทธิ์หรือการทำ sanitization อย่างเพียงพอ ทำให้ข้อมูลภายในองค์กรถูกส่งออกไปโดยไม่ได้รับการตรวจสอบ

Discovery & Research

ทีม PromptArmor ดำเนินการทดสอบด้วยไฟล์ PDF ที่แฝงคำสั่ง JavaScript‑like ซึ่งเมื่อ Rovo อ่านแล้วจะทำให้ระบบเปิด URL ภายนอกที่ระบุไว้ ทีมวิจัยพบว่าไฟล์ดังกล่าวสามารถอัปโหลดผ่านช่องทางการแนบเอกสารของ Confluence ได้โดยตรง หลังจากนั้นข้อมูลโครงการและรายงานข้อผิดพลาดจาก Jira ถูกส่งกลับไปยังเซิร์ฟเวอร์ที่โจมตีควบคุม

ในขณะเดียวกัน ทีมวิจัยอีกหนึ่งทีมใช้เทคนิค “prompt engineering” เพื่อสร้างข้อความที่ดูเหมือนเป็นคำถามทั่วไป แต่แฝงคำสั่งให้ Rovo ดึงข้อมูลผู้ใช้และทำการส่งออก ผลลัพธ์คือการดักจับข้อมูลส่วนบุคคลของหลายบัญชีผู้ใช้ที่มีสิทธิ์ระดับ admin

การตรวจสอบครั้งแรกของ Atlassian แสดงว่าเส้นทางแรก (ไฟล์แนบ) ได้รับการอัปเดตแก้ไขในแพตช์ฉบับล่าสุดที่ออกภายในสัปดาห์หลังจากรายงาน การปิดช่องโหว่นี้ทำให้ระบบไม่ยอมประมวลผลไฟล์ที่มีรูปแบบคำสั่งเฉพาะดังกล่าวอีกต่อไป อย่างไรก็ตามเส้นทางการโจมตีผ่านข้อความแชทยังคงเปิดอยู่และต้องรอการแก้ไขเพิ่มเติม

Atlassian Response

Atlassian ตอบสนองโดยการออกแถลงการณ์ว่ากำลังดำเนินการตรวจสอบความปลอดภัยของ Rovo อย่างครอบคลุม และได้เผยแพร่บันทึกการเปลี่ยนแปลง (release notes) ที่ระบุการแก้ไขในส่วนของ “file content parsing” เพื่อลดความเสี่ยงต่อการประมวลผลไฟล์ที่อาจมีคำสั่งฝังอยู่

บริษัทยังให้คำแนะนำแก่ลูกค้าว่าให้ อัปเดต Rovo เป็นเวอร์ชันล่าสุดโดยทันที และตรวจสอบว่ามีการเปิดใช้งานฟีเจอร์ “input sanitization” สำหรับข้อความแชทหรือไม่ นอกจากนี้ Atlassian ยืนยันว่าจะทำการบันทึกและวิเคราะห์ทุกเหตุการณ์ที่เกี่ยวข้องกับการส่งข้อมูลออกไปยังโดเมนภายนอกเพื่อระบุผู้ใช้ที่อาจได้รับผลกระทบ

แม้ว่าการแก้ไขเส้นทางแรกจะเป็นขั้นตอนสำคัญ แต่ Atlassian ยังไม่ได้ให้กำหนดเวลาที่ชัดเจนสำหรับการปิดช่องโหว่ในรูปแบบ prompt injection ซึ่งทำให้องค์กรต้องเฝ้าติดตามอัปเดตต่อไป

Security Implications

การเปิดเผยความสามารถของ AI assistants อย่าง Rovo ที่อาจถูกใช้เป็น “weaponized interface” แสดงให้เห็นว่าการผสานเทคโนโลยีภาษาธรรมชาติเข้ากับระบบจัดการข้อมูลระดับองค์กรต้องมาพร้อมกับมาตรการควบคุมที่แข็งแกร่ง การละเลยขั้นตอน sanitization ไม่เพียงแต่ทำให้ข้อมูลสำคัญถูกขโมย แต่ยังเพิ่มความเสี่ยงต่อการสร้าง “data exfiltration channel” ที่ไม่เปิดเผย

สำหรับองค์กรที่พึ่งพา Jira และ Confluence เป็นศูนย์กลางของการทำงานร่วมกัน การตรวจสอบสิทธิ์ผู้ใช้และการจำกัดการเข้าถึง API ของ Rovo จึงเป็นเรื่องสำคัญ นอกจากนี้ การเฝ้าติดตามพฤติกรรมการเชื่อมต่อออกสู่ภายนอก (outbound traffic) จะช่วยระบุความพยายามในการดึงข้อมูลที่ผิดปกติได้เร็วขึ้น

โดยรวมแล้ว ความบกพร่องนี้ชี้ให้เห็นว่าการทดสอบ “adversarial prompts” ควรเป็นส่วนหนึ่งของกระบวนการประกันคุณภาพ (QA) ของ AI assistants ตั้งแต่ขั้นตอนออกแบบจนถึงการปล่อยสู่ตลาด

Recommendations

เพื่อป้องกันไม่ให้เกิดเหตุการณ์คล้ายคลึงในอนาคต ผู้ดูแลระบบและผู้ใช้ควรดำเนินการตามแนวทางต่อไปนี้

• อัปเดต Rovo ไปยังเวอร์ชันล่าสุดทันทีหลังจากเผยแพร่แพตช์
• ปิดหรือจำกัดฟีเจอร์ “file upload” และ “chat prompt” สำหรับผู้ใช้ที่ไม่จำเป็นต้องใช้งาน
• ใช้ระบบตรวจสอบเครือข่าย (network monitoring) เพื่อตรวจจับการส่งข้อมูลออกสู่ URL ที่ไม่ได้รับอนุญาต
• กำหนดนโยบาย “least privilege” ให้กับบัญชีผู้ใช้ Jira/Confluence เพื่อจำกัดผลกระทบหากมีการลักลอบเข้าถึง

การปฏิบัติตามขั้นตอนเหล่านี้จะช่วยลดความเสี่ยงจากเทคนิค prompt injection และเพิ่มระดับความปลอดภัยของข้อมูลสำคัญที่จัดเก็บในระบบ Atlassian

Summary

การวิจัยพบว่า Rovo สามารถถูกหลอกให้ดึงและส่งข้อมูลจาก Jira หรือ Confluence ไปยังเซิร์ฟเวอร์ภายนอกผ่านสองเส้นทางการโจมตี หนึ่งได้รับการแก้ไขแล้ว แต่เส้นทางที่เหลือยังต้องรอการอัปเดตต่อไป การอัปเดตซอฟต์แวร์และมาตรการควบคุมอินพุตจึงเป็นสิ่งจำเป็นเพื่อปกป้องข้อมูลองค์กรจากการละเมิดในยุค AI assistants.