Zwei Wege aus derselben Wissensbasis: Atlassians KI-Agent Rovo gibt Jira- und Confluence-Daten preis
Binnen drei Tagen haben zwei Sicherheitsfirmen unabhängig voneinander gezeigt, wie sich Atlassians KI-Agent Rovo dazu bringen lässt, Unternehmensdaten an fremde Server zu schicken. PromptArmor veröffentlichte am 5. August 2026 einen Angriff über Anweisungen, die in weißer Schrift in einer hochgeladenen PDF-Datei versteckt sind: Rovo baut daraufhin selbst eine Adresse mit Jira-Tickets und Confluence-Inhalten zusammen und ruft sie ab. Der Weg funktioniert auch dann, wenn eine Organisation die Websuche für Rovo abgeschaltet hat – die Einstellung entfernt das Werkzeug zum Öffnen von Treffern nicht. Varonis beschrieb am 7. August unter dem Namen RovoBlast einen zweiten Weg über den URL-Parameter `rovoChatPrompt`, bei dem ein einziger Klick genügt. Die zweite Lücke ist behoben; die erste war 74 Tage nach der Meldung noch offen.
✓ Aussagen gegen die Quellen geprüft · 10. August 2026
Der von PromptArmor beschriebene Ablauf hat fünf Schritte: Das Opfer stellt Rovo eine Anfrage, lädt dabei eine Datei mit der versteckten Injektion hoch – im gezeigten Fall ein als Anleitung zur Backlog-Pflege getarntes PDF mit weißer Schrift auf weißem Grund in Ein-Punkt-Größe und minimalem Zeilenabstand – und bittet den Agenten, Jira-Tickets zu ordnen. Die versteckte Anweisung lenkt Rovo um: Der Agent hängt die eingesammelten Inhalte als Abfrageparameter an eine Adresse des Angreifers und ruft sie ab. In dessen Server-Protokollen stehen anschließend die Tickets und Confluence-Dokumente. Die Ursache benennt der Bericht in einem Satz: „there are no protections against opening a URL that has been dynamically created by the agent.“
Der Teil, der über den Einzelfall hinausweist, ist die umgangene Schutzeinstellung. „This attack succeeds even if an organization has disabled web search for Rovo“, hält PromptArmor fest – „This is because the web search setting fails to remove the tool for opening the search results.“ Wer die Websuche organisationsweit abschaltet, hält den Weg nach außen für geschlossen; tatsächlich bleibt das Werkzeug, das eine Adresse öffnet, im Werkzeugkasten des Agenten. Sichtbar ist davon nach Darstellung der Forscher wenig: Der Nutzer sieht die vorgeschlagenen Ticket-Änderungen, und kehrt er später in den Chat zurück, wirkt die Ausgabe unauffällig.
Varonis Threat Labs beschrieb am 7. August 2026 einen zweiten, technisch ganz anderen Weg. Die Adresse `https://home.atlassian.com/chat?rovoChatPathway=chat&rovoChatPrompt=<prompt>` schreibt den Inhalt des Parameters direkt in das Chatfenster einer angemeldeten Sitzung. Ein Klick auf einen präparierten Link genügte damit, um Anweisungen mit den Rechten des Opfers ausführen zu lassen – ohne Jailbreak und ohne Rechteausweitung; die Analyse nennt das „exactly the primitive needed to start a one-click exfiltration chain“. Die Reichweite ergibt sich aus dem, woran Rovo hängt: neben Jira, Confluence und Bitbucket auch angebundene Dienste wie Slack, Microsoft 365 und Google Workspace sowie hochgeladene Dateien. Für das mehrstufige Einsammeln nutzt der Angriff Rovos ResearchAgent.
Der Meldeverlauf trennt die beiden Fälle deutlicher als die Technik. PromptArmor meldete am 23. Mai 2026 an Atlassian, erhielt am 25. Mai eine Fallnummer und fragte am 4. Juni sowie am 29. Juli ohne Antwort nach; die Veröffentlichung vom 5. August endet mit dem Satz „Rovo remains vulnerable“. Zwischen Meldung und Veröffentlichung liegen 74 Tage. RovoBlast lief dagegen über Bugcrowd, wurde nach Angaben von The Hacker News mit P2 eingestuft und mit 6.000 Dollar vergütet; den Fix spielte Atlassian am 8. Juli serverseitig ein, ohne dass Kunden etwas tun mussten.
⚠️ Zur Beleglage: Beide Untersuchungen stammen von Anbietern, die Sicherheitsprodukte für KI-Agenten beziehungsweise Datenzugriff verkaufen – interessenfrei sind sie nicht. Nachgestellt haben wir keinen der beiden Angriffe; belegt sind sie durch die jeweilige Primärveröffentlichung und die unabhängige Rezeption. Eine öffentliche Stellungnahme Atlassians zu den Befunden ist uns nicht bekannt. Eine CVE-Nummer war nach The Hacker News bis zum 8. August weder im NVD noch bei der CISA vergeben. Und die für Betreiber wichtigste Frage lässt sich derzeit nicht beantworten: Ob der Fix vom 8. Juli den inhaltsgetragenen Weg mit berührt, sagt keine der beiden Offenlegungen.