كشف باحثون أن أتلاسيان روفو يمكن خداعه لجمع بيانات من Jira وConfluence ثم إرسالها إلى خادم خارجي، ما يثير مخاوف جديدة حول أمن المساعدات الذكية داخل الشركات.
ما هي ثغرة أتلاسيان روفو ولماذا تهم المستخدمين؟
تدور المشكلة حول قدرة المهاجم على زرع تعليمات خبيثة داخل محتوى يقرأه Rovo، أو تمريرها عبر رابط معد مسبقاً. عندها يتعامل المساعد مع هذه التعليمات كأنها جزء من الطلب الطبيعي للمستخدم.
النتيجة أن Rovo قد يجمع بيانات من Jira أو Confluence ضمن صلاحيات المستخدم المسجل دخوله، ثم يرسلها إلى جهة خارجية من دون تنبيه واضح. وهنا تكمن الخطورة لأن البيانات المسرّبة قد تشمل تذاكر عمل وصفحات داخلية حساسة.
كيف جرى اكتشاف الهجوم؟
- شركة أمنية أخفت الأوامر داخل ملف يرفعه المستخدم.
- فريق آخر استخدم رابطاً يحمّل التعليمات داخل محادثة Rovo مسبقاً.
- الطريقتان تنفذان الهجوم بصلاحيات الضحية نفسها بعد تسجيل الدخول.
كيف يمكن استغلال Jira وConfluence عبر هذه الثغرة؟
في سيناريو الملف المسموم، يرفع المستخدم مستنداً يحتوي حقناً غير مباشر للأوامر ثم يطلب من Rovo تنظيم تذاكره. بعدها يبدأ المساعد في البحث داخل Jira وConfluence كالمعتاد، لكنه يضيف النتائج إلى رابط يملكه المهاجم ويرسلها إليه.
الأخطر أن عملية التسريب قد تتم من دون خطوة موافقة منفصلة من المستخدم. ووفق قراءة تيكبامين، فهذا يعني أن السلوك يبدو طبيعياً داخل سير العمل اليومي، بينما تنتقل البيانات في الخلفية إلى سجل خادم خارجي.
- البيانات المستهدفة: تذاكر Jira وصفحات Confluence.
- شرط النجاح: أن يمتلك المستخدم صلاحية الوصول إلى المحتوى.
- الأثر: تسريب معلومات داخلية عبر طلب URL خارجي.
هل أصلحت أتلاسيان الثغرة بالكامل؟
ليست كل المسارات في الحالة نفسها. مسار الرابط الذي يعتمد على معامل rovoChatPrompt تم الإبلاغ عنه عبر منصة مكافآت الثغرات، وتؤكد السجلات أنه أُغلق من جهة الخادم في 8 يوليو 2026 مع التحقق من الإصلاح.
لكن مسار الملف المسموم كان لا يزال يعمل عند نشر التقرير في 5 أغسطس 2026، حتى مع تعطيل خيار البحث على الويب داخل المؤسسة. لذلك لا يوجد تأكيد قاطع هنا بأن هذا المسار جرى إغلاقه لاحقاً.
ما الذي يمكن للمؤسسات فعله الآن؟
- تقييد التطبيقات والمجموعات المسموح لها باستخدام Rovo.
- تقليل وصول المساعد إلى المساحات والفرق غير الضرورية.
- مراجعة سجلات الاستخدام والطلبات الخارجية غير المعتادة.
كيف تحمي شركتك من مخاطر أتلاسيان روفو؟
الدفاع الأفضل حالياً ليس عبر تحديث يطبقه العميل، بل عبر ضبط الصلاحيات وتقليل نطاق الاستخدام. كما يجب تدريب الموظفين على الحذر من الملفات والروابط غير الموثوقة داخل بيئات العمل التعاونية.
في النهاية، تكشف هذه القضية أن أتلاسيان روفو قد يتحول من أداة إنتاجية إلى قناة تسريب إذا لم تُضبط صلاحياته بعناية. ولهذا تتابع تيكبامين هذا الملف بوصفه مثالاً واضحاً على تصاعد مخاطر الحقن البرمجي غير المباشر في أدوات الذكاء الاصطناعي المؤسسية.
