Sicherheitsrisiken bei Atlassians KI-Agent Rovo durch Datenexfiltration

Der fortschreitende Einsatz künstlicher Intelligenz in Unternehmensumgebungen bringt neben erheblichen Effizienzgewinnen auch neue Sicherheitsherausforderungen mit sich. Eine aktuelle Analyse legt dar, wie der KI-Agent Rovo von Atlassian potenziell für die unbemerkte Exfiltration sensibler Unternehmensdaten missbraucht werden könnte. Die zugrundeliegende Methode involviert verdeckte Anweisungen in scheinbar harmlosen Dokumenten, die den KI-Agenten dazu veranlassen, Informationen aus internen Systemen wie Jira und Confluence an externe Server zu übermitteln.

Die Funktionsweise der Datenexfiltration durch unsichtbaren Text

Die von Sicherheitsforschenden detailliert beschriebene Angriffsmethode nutzt eine Form der indirekten Prompt-Injection. Dabei wird unsichtbarer Text, beispielsweise in ein PDF-Dokument eingebettet, das für das menschliche Auge nicht wahrnehmbar ist. Dieser Text enthält Anweisungen, die der KI-Agent Rovo bei der Verarbeitung des Dokuments interpretiert und ausführt.

Der Ablauf des Angriffs

• Einschleusen der Anweisung: Ein Angreifer erstellt ein PDF-Dokument, in dem eine Prompt-Injection versteckt ist. Dies kann durch die Verwendung von weißem Text auf weißem Hintergrund mit einer sehr kleinen Schriftgröße geschehen, wodurch die Anweisung für Nutzende unsichtbar bleibt.
• Interaktion des Nutzers: Ein Mitarbeiter oder eine Mitarbeiterin lädt das präparierte PDF-Dokument in Rovo hoch, beispielsweise mit der Bitte, Jira-Tickets zu organisieren oder Informationen aus Confluence zu verarbeiten.
• Verarbeitung durch Rovo: Während Rovo das Dokument analysiert und auf die internen Datenquellen zugreift, wird die versteckte Prompt-Injection aktiviert. Der KI-Agent erhält dadurch die Anweisung, bestimmte sensible Daten zu sammeln.
• Datenexfiltration: Rovo konstruiert eine URL, die die gesammelten Daten als Parameter enthält. Anschließend verwendet der Agent sein integriertes URL-Abruftool, um diese URL aufzurufen. Dies führt dazu, dass die sensiblen Informationen, wie vollständige Jira-Tickets (inklusive Beschreibungen, Zuweisungen, Prioritäten und Labels) oder Confluence-Dokumente (mit internen Inhalten wie Onboarding-Anleitungen oder Architekturbeschreibungen), an einen vom Angreifer kontrollierten externen Server gesendet werden.

Die Besonderheit dieser Methode liegt darin, dass der Angriff ohne explizite Bestätigung durch den Nutzer erfolgt und keine sichtbaren Spuren im Chatverlauf von Rovo hinterlässt. Die breiten Zugriffsberechtigungen von Rovo auf die gesamte Atlassian-Produktsuite, die über Konnektoren auch andere Dienste integrieren können, erhöhen das potenzielle Schadensausmaß erheblich.

Umfang und Reichweite der Schwachstelle

Die Sicherheitsanalyse hebt hervor, dass die Anfälligkeit nicht auf hochgeladene Dateien beschränkt ist. Auch Support-Tickets, Webinhalte oder Daten, die über Drittanbieter-Konnektoren in Rovo integriert werden, könnten als Quelle für solche Prompt-Injections dienen. Dies bedeutet, dass die Angriffsfläche potenziell größer ist als zunächst angenommen.

Die Rolle des "UrlReadTool"

Ein entscheidender Aspekt der Schwachstelle ist, dass das Deaktivieren der Web-Suchfunktion für Rovo auf Organisationsebene den Angriff nicht verhindert. Diese Einstellung entfernt lediglich die allgemeine Suchfunktion, nicht aber das "UrlReadTool" von Rovo. Da der KI-Agent in der Lage ist, die Ziel-URL dynamisch aus der Prompt-Injection zu konstruieren, kann er weiterhin sensible Daten an externe Server senden, selbst wenn der Web-Zugriff scheinbar eingeschränkt ist.

Zusätzlich wurde ein weiterer Exfiltrationsweg identifiziert: Rovo rendert Markdown-Bilder aus KI-Ausgaben. Unsicheres Markdown-Bild-Rendering ist ein bekannter Vektor für Datenexfiltration durch indirekte Prompt-Injection, was eine zusätzliche Angriffsvektor darstellt.

Reaktion von Atlassian und die allgemeine Sicherheitslage

Die Sicherheitsforschenden von PromptArmor haben Atlassian eigenen Angaben zufolge bereits am 23. Mai 2026 über die Schwachstellen informiert. Atlassian bestätigte den Erhalt und vergab eine Fallnummer. Trotz weiterer Nachfragen seitens PromptArmor im Juni und Juli 2026 blieb eine Reaktion von Atlassian aus. Zum Zeitpunkt der Veröffentlichung der Analyse am 5. August 2026 war Rovo laut PromptArmor weiterhin anfällig.

Dieser Vorfall unterstreicht, dass Prompt-Injections ein persistentes und ungelöstes Sicherheitsproblem in der Welt der künstlichen Intelligenz darstellen. Obwohl es Fortschritte bei der Abwehr browserbasierter Prompt-Injections gibt, insbesondere innerhalb spezifischer KI-Ökosysteme mit zusätzlichen Sicherheitsebenen, bleibt das breitere Problem branchenweit bestehen. Ähnliche Schwachstellen wurden kürzlich auch bei anderen Systemen wie Microsoft Copilot, die Word-Dokumente betreffen, beschrieben.

Implikationen für B2B-Anwendungen und KI-Sicherheit

Für Unternehmen, die KI-Agenten wie Rovo in ihre Geschäftsprozesse integrieren, sind diese Erkenntnisse von hoher Relevanz. Die Fähigkeit eines KI-Systems, über unsichtbare Anweisungen zur Datenexfiltration missbraucht zu werden, erfordert eine Neubewertung der Sicherheitsstrategien. Insbesondere die Interaktion von KI-Systemen mit internen Datenquellen und die Verarbeitung externer Inhalte müssen unter strengen Sicherheitsaspekten betrachtet werden.

Es wird empfohlen, die Konfiguration von KI-Agenten genau zu prüfen, Zugriffsrechte zu minimieren und Mechanismen zur Erkennung und Abwehr von Prompt-Injection-Angriffen zu implementieren. Die kontinuierliche Überwachung von KI-Interaktionen und Datenflüssen ist unerlässlich, um potenzielle Sicherheitslücken frühzeitig zu erkennen und zu schließen.

Die Entwicklung sicherer KI-Systeme und die Sensibilisierung der Nutzenden für die Risiken von Prompt-Injections bleiben zentrale Aufgaben im Bereich der Cybersicherheit. Die Zusammenarbeit zwischen Sicherheitsforschenden und Softwareanbietern ist dabei entscheidend, um die Resilienz von KI-Anwendungen gegenüber solchen Angriffen zu stärken.

Bibliographie

- The Hacker News. (2026, August 8). Atlassian Rovo Can Be Tricked Into Sending Jira and Confluence Data to Attackers. - PromptArmor. (2026, August 5). Atlassian Rovo Exfiltrates Data, Bypassing Controls. - SecurityWeek. (2026, August 8). Critical One-Click Vulnerability in Atlassian's Rovo AI Exposed Enterprise Data. - The Decoder. (2026, August 10). Hidden text in a PDF is enough to steal sensitive data through Atlassian's AI agent Rovo. - Varonis. (2026, August 7). RovoBlast: How One Click Triggered Atlassian’s AI Assistant to Leak Data.