Atlassians KI-Agent Rovo ist anfällig für eine sogenannte indirekte Prompt Injection, die es Angreifern ermöglicht, sensible Unternehmensdaten aus Jira-Tickets und Confluence-Dokumenten abzugreifen.
Das hat das Sicherheitsunternehmen PromptArmor in einer detaillierten Analyse dokumentiert. Der Angriff erfordert keinerlei Bestätigung durch den Nutzer und hinterlässt im Chat keine sichtbaren Spuren.
Rovo ist ein KI-Agent, der über Atlassians gesamte Produktsuite hinweg arbeitet und Zugriff auf Jira, Confluence und weitere über Konnektoren angebundene Dienste hat. Genau dieser breite Zugriff macht die Schwachstelle laut PromptArmor besonders gefährlich.
Versteckter Text in einem PDF reicht aus
Ein Nutzer bittet Rovo hierfür, seine Jira-Tickets zu organisieren, und lädt dazu ein Dokument hoch, etwa einen "Backlog Organization Guide" im PDF-Format. Das Dokument sieht auf den ersten Blick unauffällig aus, enthält jedoch eine versteckte Prompt Injection: bösartige Anweisungen in weißer Schrift auf weißem Hintergrund, mit einer Schriftgröße von einem Punkt und minimalem Zeilenabstand.
Das vom Nutzer hochgeladene Dokument enthält eine versteckte Prompt Injection in weißer Schrift auf weißem Hintergrund. | Bild: PromptArmorRovo verarbeitet die Anfrage, durchsucht Jira und Confluence nach relevanten Inhalten und wird dabei durch die versteckte Injection umgeleitet. Der Agent konstruiert daraufhin eine URL, die die gesammelten Daten als Query-Parameter enthält, und ruft diese über sein URL-Abruf-Tool auf. Auf dem Server des Angreifers landen so vollständige Jira-Tickets mit Beschreibungen, Zuweisungen, Prioritäten und Labels sowie Confluence-Dokumente mit internen Inhalten wie Onboarding-Anleitungen oder Plattform-Architekturbeschreibungen.
Laut PromptArmor ist der Angriff nicht auf hochgeladene Dateien beschränkt. Auch externe Daten in Atlassian, etwa Support-Tickets, Webinhalte bei aktivierter Suche oder über Drittanbieter-Konnektoren eingebundene Daten könnten als Injektionsquelle dienen.
Der Angriff funktioniert selbst dann, wenn eine Organisation die Websuche für Rovo auf Organisationsebene deaktiviert hat. Laut PromptArmor entfernt diese Einstellung zwar die Suchfunktion, nicht aber das sogenannte "UrlReadTool", mit dem Rovo URLs öffnen und deren Inhalte lesen kann. Da der Agent die Ziel-URL dynamisch aus der Prompt-Injection zusammensetzt, gibt es keine Schutzmaßnahme, die das Aufrufen externer URLs mit angehängten sensiblen Daten verhindert.
Zusätzlich identifizierte PromptArmor einen zweiten möglichen Exfiltrationsweg: Rovo rendert Markdown-Bilder aus KI-Ausgaben. Unsicheres Markdown-Image-Rendering ist laut dem Sicherheitsunternehmen ein bekannter Vektor für Datenabfluss durch indirekte Prompt Injection.
Prompt Injections sind ein ungelöstes KI-Cybersecurity-Problem
PromptArmor meldete die Schwachstellen laut eigenen Angaben am 23. Mai 2026 an Atlassian. Zwei Tage später vergab Atlassian eine Fallnummer und bedankte sich. Trotz weiterer Nachfragen am 4. Juni und am 29. Juli habe Atlassian nicht mehr reagiert. Rovo bleibe zum Zeitpunkt der Veröffentlichung am 5. August weiterhin verwundbar. PromptArmor veröffentlichte die Ergebnisse daher, um Nutzer über die Risiken zu informieren.
Zuletzt beschrieb Anthropic deutliche Fortschritte, speziell bei Browser-basierten Prompt-Injections. Doch diese Fortschritte gelten speziell in Anthropics KI-Ökosystem mit zusätzlichen Sicherheitsmaßnahmen. Die lange bekannte Sicherheitslücke dürfte die Branche daher noch eine Weile begleiten. Erst kürzlich wurde eine ähnliche Sicherheitslücke für Word-Dokumente in Copilot beschrieben.
KI-News ohne Hype – von Menschen kuratiert
Mit dem THE‑DECODER‑Abo liest du werbefrei und wirst Teil unserer Community: Diskutiere im Kommentarsystem, erhalte unseren wöchentlichen KI‑Newsletter, 6× im Jahr den "KI Radar"‑Frontier‑Newsletter mit den neuesten Entwicklungen aus der Spitze der KI‑Forschung, bis zu 25 % Rabatt auf KI Pro‑Events und Zugriff auf das komplette Archiv der letzten zehn Jahre.
