Twee ingangen, twee verschillende klokken

Rovo, de AI-assistent van Atlassian, zit inmiddels ingebouwd in Jira en Confluence en kan namens een gebruiker zoeken in tickets en pagina's en data ophalen uit gekoppelde apps. Binnen enkele maanden vonden twee onafhankelijke onderzoeksteams twee aparte manieren om dat gemak om te zetten in een kanaal voor data-exfiltratie, en Atlassians reactie verliep in elk geval in een compleet ander tempo.

Varonis meldde zijn techniek via Bugcrowd, Atlassians officiële bug bounty platform, en kreeg binnen ongeveer zes weken een gevalideerde serverzijdige fix. PromptArmor meldde zijn techniek in mei rechtstreeks aan Atlassians beveiligingsteam en wachtte bij publicatie van de bevindingen op 5 augustus 2026, tien weken en drie opvolgberichten later, nog steeds op een reactie. Volgens berichtgeving over de meldingen had geen van beide lekken op 8 augustus 2026 een toegewezen CVE.

De versie met een klik die Atlassian al heeft opgelost

De techniek van Varonis, RovoBlast genoemd, misbruikte een URL-parameter genaamd rovoChatPrompt die door een aanvaller geschreven instructies rechtstreeks kon voorladen in een Rovo Chat-sessie. Een enkele klik van een geauthenticeerde gebruiker op een geprepareerde link was genoeg: Rovo zocht informatie op waartoe het slachtoffer toegang had, verwerkte die in een door de aanvaller gecontroleerde afbeeldings-URL en haalde die afbeelding op, waarmee de data stilletjes bij de server van de aanvaller belandde. Tests bevestigden dat de techniek private Confluence API-sleutels kon bereiken, plus data via Jira-, SharePoint- en Outlook-connectors.

Atlassian classificeerde de melding als P2-prioriteit, betaalde een beloning van 6.000 dollar en bracht op 8 juli 2026 een serverzijdige fix uit, die Varonis vervolgens als opgelost valideerde. Dit is de versie van dit verhaal die verliep zoals verantwoorde openbaarmaking aan een leverancier hoort te verlopen.

De versie die nog steeds open staat

De techniek van PromptArmor is een indirecte prompt-injectie: instructies verborgen in een document, onzichtbaar voor de menselijke lezer, die actief worden zodra een gebruiker Rovo vraagt dat document te lezen of te doorzoeken. Rovo volgt de verborgen instructies, verzamelt de Jira-tickets en Confluence-pagina's waartoe de ingelogde gebruiker toegang heeft, voegt die data toe aan een URL en opent die URL zelf via zijn eigen ophaalfunctie - zonder aparte goedkeuringsstap die een mens zou kunnen onderscheppen of blokkeren. PromptArmor stelt in zijn rapport expliciet dat het uitschakelen van Rovo's websearch-optie dit niet stopt, omdat die instelling alleen websearch verwijdert maar het onderliggende hulpmiddel waarmee Rovo URL's opent en opgehaalde afbeeldingen en links weergeeft, intact laat.

PromptArmor meldde het probleem op 23 mei 2026 aan Atlassian en kreeg twee dagen later een bevestiging met een zaaknummer. Het volgde opnieuw op op 4 juni en 29 juli zonder inhoudelijke reactie, en publiceerde zijn bevindingen op 5 augustus 2026 terwijl het lek nog steeds onopgelost was en Atlassian geen bevestigde fixdatum had gegeven.

Wat deze week concreet te controleren valt

De echte les gaat niet alleen over Atlassian, maar over hoe instellingen van AI-agents in SaaS-tools in het algemeen werken. Een schakelaar die klinkt alsof hij een mogelijkheid uitschakelt, schakelt mogelijk slechts een smalle functie uit die is gebouwd bovenop een breder hulpmiddel waartoe de agent nog steeds volledige toegang heeft. Voordat u een adminschakelaar van een AI-copiloot in Jira, Confluence, SharePoint of een vergelijkbaar platform vertrouwt, is de concrete stap om te testen wat die instelling daadwerkelijk doet, of uw beveiligingsteam te laten proberen een bekende techniek zoals die van PromptArmor ertegen te reproduceren, in plaats van op het label te vertrouwen.

De tweede concrete stap gaat over reikwijdte: controleer welke connectors elke AI-agent in uw stack kan bereiken, en beperk standaard brede leestoegang tot wat elk team daadwerkelijk nodig heeft, want de blootstelling in beide Rovo-gevallen werd volledig bepaald door de rechten die de ingelogde gebruiker al had. Een AI-agent creëert geen nieuwe toegang - hij maakt het voor een buitenstaander alleen veel makkelijker om al te ruime toegang in bulk te bereiken.

Lees hierna: Cloudflares nieuwe browser verlaagt kosten, niet tijd  |  Drie dagen om de AI-bouwer te patchen die niemand vastlegde