Versteckter Text in einer PDF-Datei genügt, um sensible Daten über den KI-Agenten Rovo von Atlassian zu stehlen

Atlassians KI-Agent Rovo ist anfällig für eine indirekte Prompt-Injection, mit der Angreifer vertrauliche Unternehmensdaten aus Jira-Tickets und Confluence-Dokumenten stehlen können. Die Sicherheitsfirma PromptArmor dokumentierte den Fehler, der keine Benutzerbestätigung erfordert und keine sichtbaren Spuren im Chat hinterlässt. Rovo arbeitet in der gesamten Produktsuite von Atlassian mit Zugriff auf Jira, Confluence und verbundene Dienste, was die Verwundbarkeit besonders gefährlich macht. Ein Angriff beginnt, wenn ein Benutzer Rovo bittet, Jira-Tickets zu organisieren, und ein Dokument hochlädt, beispielsweise ein PDF mit dem Titel „Backlog-Organisationsleitfaden", das versteckte bösartige Anweisungen in weißer Schrift auf weißem Hintergrund enthält. Rovo verarbeitet die Anfrage, durchsucht Jira und Confluence und wird durch die versteckte Injection umgeleitet, eine URL mit gesammelten Daten als Abfrageparameter zu konstruieren, wodurch vollständige Tickets und Dokumente an den Server des Angreifers gesendet werden. Der Angriff ist nicht auf hochgeladene Dateien beschränkt; auch externe Daten wie Support-Tickets, Webinhalte oder Daten aus Drittanbieter-Connectoren könnten als Injectionsquellen dienen. Das Deaktivieren der Websuche für Rovo auf Organisationsebene verhindert den Angriff nicht, da Rovos „UrlReadTool" aktiv bleibt, und da die Ziel-URL dynamisch aus der Prompt-Injection zusammengesetzt wird, blockiert keine Schutzmaßnahme die Exfiltration. PromptArmor identifizierte auch einen zweiten Exfiltrationsvektor: Rovo rendert Markdown-Bilder aus KI-Ausgaben, und unsicheres Rendern von Markdown-Bildern ist ein bekannter Vektor für Datenexfiltration über indirekte Prompt-Injection. PromptArmor meldete die Verwundbarkeiten am 23. Mai 2026 an Atlassian; Atlassian bestätigte zwei Tage später mit einer Fallnummer, reagierte jedoch nicht auf Nachfragen vom 4. Juni und 29. Juli, sodass Rovo zum Zeitpunkt der Veröffentlichung am 5. August weiterhin verwundbar war. Anthropic beschrieb kürzlich Fortschritte bei browserbasierten Prompt-Injections, aber solche Fortschritte gelten speziell für sein Ökosystem mit zusätzlichen Sicherheitsmaßnahmen. Die seit langem bekannte Sicherheitslücke wird wahrscheinlich bestehen bleiben, und eine ähnliche Verwundbarkeit für Word-Dokumente in Copilot wurde kürzlich beschrieben.