Atlassians KI-Assistent Rovo kann gekapert werden, um Jira- und Confluence-Daten preiszugeben

Sicherheitsforscher haben zwei separate Prompt-Injection-Schwachstellen in Atlassians KI-Assistenten Rovo offengelegt, die es Angreifern ermöglichen, still sensible Daten aus Jira, Confluence und verbundenen Drittanbieter-Tools zu exfiltrieren — ohne dass das Opfer jemals bemerkt, dass sein KI-Assistent gekapert wurde.

Angriff eins: Versteckte Anweisungen in gewöhnlichen Dateien

Das Sicherheitsunternehmen PromptArmor fand heraus, dass Angreifer unsichtbare Befehle in ansonsten gewöhnliche Dateien wie PDFs einbetten können — mit Techniken wie weißem Text auf weißem Hintergrund in winziger Schriftgröße, unsichtbar für jeden menschlichen Leser, aber vollständig lesbar für Rovos KI. Wenn ein Mitarbeiter eine solche Datei hochlädt und Rovo bittet, bei einer Routineaufgabe wie der Organisation von Jira-Tickets zu helfen, kapern die versteckten Anweisungen stattdessen den Assistenten. Rovo zieht dann leise sensible Informationen aus Jira-Tickets, Confluence-Seiten oder anderen verbundenen Daten und überträgt sie mit seinem eigenen URL-Abruf-Tool an einen vom Angreifer kontrollierten Server.

Der Exploit umgeht eine Schutzmaßnahme, von der Organisationen annehmen könnten, sie schütze sie: Das Deaktivieren der Websuche-Funktion von Rovo entfernt nicht seine zugrunde liegende Fähigkeit, externe URLs zu öffnen, sodass der Exfiltrationskanal auch dann bestehen bleibt, wenn ein Administrator glaubt, ihn gesperrt zu haben. PromptArmor legte die Schwachstelle Atlassian am 23. Mai 2026 privat offen und veröffentlichte die Details am 5. August, nachdem bestätigt wurde, dass dieser Vektor noch immer nicht gepatcht war.

Angriff zwei: Ein einziger bösartiger Link

Separat identifizierte Varonis Threat Labs eine zweite Schwachstelle namens «RovoBlast», die einen URL-Parameter namens rovoChatPrompt ausnutzt, der es einem Angreifer erlaubt, Rovos Chatfenster vorab mit Anweisungen zu befüllen, bevor der Nutzer es überhaupt öffnet. Klickt ein angemeldeter Mitarbeiter auf einen speziell präparierten Link, behandelt Rovo den eingebetteten Text als vertrauenswürdige Eingabe innerhalb der aktiven Sitzung dieses Nutzers — und läuft mit dessen tatsächlichen Berechtigungen. Von dort aus kann Rovos integriertes ResearchAgent-Tool, das für legitime Multi-Quellen-Recherche konzipiert ist, gegen die Organisation gewendet werden, um autonom Daten aus Jira, Confluence und integrierten Diensten wie SharePoint, Slack, Google Workspace und Microsoft 365 zu ziehen und dann an den Angreifer zu senden.

Varonis meldete RovoBlast über Atlassians Bugcrowd-Bug-Bounty-Programm, und Atlassian veröffentlichte am 8. Juli 2026 einen serverseitigen Fix — eine deutlich schnellere Reaktionszeit als beim noch immer offenen PromptArmor-Vektor.

Was tatsächlich auf dem Spiel steht

Beide Angriffe können dieselbe Kategorie sensibler Unternehmensdaten offenlegen: Inhalte von Jira-Tickets, Text von Confluence-Seiten, private API-Schlüssel, Listen von Arbeitsbereichsmitgliedern, interne Seiten- und Organisations-IDs sowie E-Mail-Adressen von Autoren. Da Rovo mit jedem Zugriff arbeitet, den der angemeldete Nutzer hat, skaliert der Wirkungsradius eines erfolgreichen Angriffs direkt damit, wie umfassend eine Organisation Rovo mit ihren internen Systemen verbunden hat.

Warum das über Atlassian hinaus wichtig ist

Wie The Hacker News berichtete, ist die zugrunde liegende Schwäche nicht einzigartig für Rovo — sie ist strukturell für jeden KI-Assistenten, der nicht vertrauenswürdige externe Inhalte (hochgeladene Dateien, Webseiten oder präparierte URLs) verarbeitet und gleichzeitig privilegierten Zugriff auf interne Systeme hat. Sicherheitsforscher haben diese Klasse von Schwachstellen, bekannt als indirekte Prompt-Injection, als eines der schwierigsten Probleme beim Einsatz von KI-Agenten im Unternehmen eingestuft, da die Angriffsnutzlast den Nutzer nie direkt berührt — sie wird über Inhalte eingeschleust, die die KI im Namen des Nutzers liest.

Für Organisationen, die Rovo oder ähnliche mit sensiblen Systemen verbundene KI-Assistenten betreiben, ist der unmittelbare praktische Schritt, Atlassians Juli-Patch für RovoBlast anzuwenden und den von PromptArmor gemeldeten Vektor als aktives, ungelöstes Risiko zu behandeln, bis Atlassian einen Fix bestätigt.