Zwei Wege hinein, zwei unterschiedliche Uhren
Atlassians Rovo ist der KI-Assistent, der inzwischen fest in Jira und Confluence eingebaut ist und im Auftrag eines Nutzers Tickets, Seiten und Daten aus verbundenen Apps durchsuchen kann. Innerhalb weniger Monate fanden zwei unabhängige Sicherheitsteams zwei getrennte Wege, aus dieser Bequemlichkeit einen Kanal für Datenabfluss zu machen - und Atlassians Reaktion lief in beiden Fällen nach völlig unterschiedlichem Tempo ab.
Varonis meldete seine Methode über Bugcrowd, Atlassians offizielle Bug-Bounty-Plattform, und erhielt innerhalb von rund sechs Wochen einen bestätigten, serverseitigen Fix. PromptArmor meldete seine Methode im Mai direkt an Atlassians Sicherheitsteam und wartete bei der Veröffentlichung am 5. August 2026 - zehn Wochen und drei Nachfragen später - immer noch auf eine Reaktion. Laut Berichterstattung zu den Meldungen besitzt bis zum 8. August 2026 keine der beiden Lücken eine CVE-Nummer.
Die Ein-Klick-Version, die Atlassian bereits behoben hat
Die von Varonis RovoBlast getaufte Methode nutzte einen URL-Parameter namens rovoChatPrompt, der von Angreifern verfasste Anweisungen direkt in eine Rovo-Chat-Sitzung vorladen konnte. Ein einziger Klick eines angemeldeten Nutzers auf einen präparierten Link genügte: Rovo suchte Informationen, auf die das Opfer Zugriff hatte, bettete sie in eine von Angreifern kontrollierte Bild-URL ein und rief dieses Bild ab - und lieferte die Daten so unbemerkt an den Server der Angreifer. Tests bestätigten, dass die Methode private Confluence-API-Schlüssel sowie Daten aus Jira-, SharePoint- und Outlook-Connectoren erreichen konnte.
Atlassian stufte die Meldung als P2 ein, zahlte 6.000 Dollar Prämie und lieferte am 8. Juli 2026 einen serverseitigen Fix, den Varonis anschließend als geschlossen bestätigte. Das ist die Version dieser Geschichte, die so ablief, wie Sicherheitsmeldungen an Hersteller eigentlich ablaufen sollen.
Die Version, die weiterhin offen ist
Die Methode von PromptArmor ist eine indirekte Prompt-Injection: Anweisungen, die versteckt in einem Dokument liegen, für den menschlichen Leser unsichtbar sind und wirksam werden, sobald ein Nutzer Rovo bittet, dieses Dokument zu lesen oder zu durchsuchen. Rovo folgt den versteckten Anweisungen, sammelt die Jira-Tickets und Confluence-Seiten, auf die der angemeldete Nutzer Zugriff hat, hängt diese Daten an eine URL an und ruft die URL selbst über sein eigenes Abrufwerkzeug auf - ohne einen separaten Bestätigungsschritt, den ein Mensch abfangen könnte. PromptArmor stellt in seinem Bericht klar, dass das Deaktivieren der Websuche-Option daran nichts ändert, weil diese Einstellung nur die Websuche entfernt, nicht aber das zugrunde liegende Werkzeug, mit dem Rovo URLs öffnet und die abgerufenen Bilder und Links darstellt.
PromptArmor meldete das Problem am 23. Mai 2026 an Atlassian und erhielt zwei Tage später eine Bestätigung samt Vorgangsnummer. Es folgten weitere Nachfragen am 4. Juni und 29. Juli ohne inhaltliche Antwort, bevor PromptArmor seine Ergebnisse am 5. August 2026 veröffentlichte - die Lücke weiterhin ungelöst, ohne bestätigtes Datum für einen Fix von Atlassian.
Was diese Woche konkret zu prüfen ist
Die eigentliche Lehre betrifft nicht nur Atlassian, sondern die Funktionsweise von KI-Agenten-Einstellungen in SaaS-Werkzeugen generell. Ein Schalter, der sich anhört, als deaktiviere er eine Fähigkeit, deaktiviert möglicherweise nur ein schmales Feature, das auf einem breiteren Werkzeug aufsetzt, auf das der Agent weiterhin vollen Zugriff hat. Bevor man einer Admin-Einstellung eines KI-Copiloten in Jira, Confluence, SharePoint oder einer ähnlichen Plattform vertraut, sollte man konkret prüfen, was die Einstellung tatsächlich bewirkt - etwa indem das eigene Sicherheitsteam versucht, eine bekannte Methode wie die von PromptArmor dagegen nachzustellen, statt sich auf die Beschriftung zu verlassen.
Der zweite konkrete Schritt betrifft die Rechtevergabe: prüfen Sie, welche Connectoren jeder KI-Agent im eigenen Stack erreichen kann, und reduzieren Sie standardmäßig breite Leserechte auf das, was jedes Team tatsächlich braucht - denn die Gefährdung in beiden Rovo-Fällen ergab sich ausschließlich aus den ohnehin bestehenden Rechten des angemeldeten Nutzers. Ein KI-Agent schafft keine neuen Zugriffe, er macht bereits zu breit vergebene Zugriffe für Außenstehende nur deutlich leichter in großem Umfang erreichbar.
Weiterlesen: Cloudflares neuer Browser spart Kosten, nicht Zeit | Drei Tage Frist für den KI-Baukasten ohne Eintrag
