安全研究人员披露了 Atlassian 旗下多用途 AI 代理——Atlassian Rovo 存在严重的数据外泄漏洞。攻击者可以利用一种被称为“间接提示注入”的技术，在无需任何人工审批的情况下，诱骗 Rovo 将 Jira 工单、Confluence 文档等敏感数据传输至外部服务器。该漏洞的核心在于 Rovo 缺乏对 AI 动态生成 URL 的验证机制。在典型攻击场景中，受害者会向 Rovo 上传一个包含恶意隐藏指令的文件（如伪装的“待办事项指南”）。当受害者随后请求 Rovo 整理 Jira 工单时，Rovo 会处理该文件并执行其中的隐藏指令，操纵 Rovo 将其能访问的敏感数据附加到攻击者控制的 URL 参数中，并利用其不安全的“URL 检索工具”自动访问该链接，从而完成数据窃取。值得注意的是，该攻击极具隐蔽性。即使组织管理员在 Rovo 设置中全局禁用了“网页搜索”功能，攻击依然有效，因为禁用搜索并未移除底层打开 URL 的工具权限。此外，受害者在事后查看聊天记录时，只能看到正常的工单整理建议，无法察觉数据已被窃取。负责任的披露过程显示，PromptArmor 团队于 5 月 23 日向 Atlassian 报告了该漏洞，尽管 Atlassian 确认收到并分配了工单，但在两个多月内未进行实质性修复或沟通，导致 Rovo 至今仍处于易受攻击状态。
事件分析
本事件揭示了企业级 AI Agent 在落地过程中面临的核心安全挑战：工具调用的不可信执行与权限边界的模糊。不同于传统的代码注入，针对 Agent 的“提示注入”攻击直接利用了大模型的推理能力作为攻击载荷的分发渠道。当赋予 Agent 自主访问互联网和执行动作的权限时，如果缺乏针对生成内容的安全沙箱、严格的 URL 白名单机制或对敏感数据流出的监控，AI 极易被转化为内部数据的“搬运工”。尤其警惕的是“间接注入”的高隐蔽性与高危害性，企业用户习惯于将外部文档上传至知识库进行分析，这种信任关系被攻击者利用。即便管理员试图通过关闭网络搜索来降低风险，若未彻底隔离 Agent 的底层联网能力，防护依然形同虚设。这表明，当前的 AI 安全防护不能仅停留在模型提示词层面的对抗，更需要深入到 Agent 的工具调用层进行硬编码的权限校验。随着企业加速引入 AI 智能体处理核心业务，此类由“自主性”引发的漏洞将成为未来网络安全攻防的焦点。
💡 核心观点：Agent自主性与数据安全矛盾爆发：缺乏对生成内容验证的工具调用机制，让提示词指令成为了窃取企业机密的“隐形后门”。
原文链接：Hacker News
Codex CLI 深度
AI 模型横评
AI Agent 框架
Claude Code 订阅生存指南