RovoBlast führt vor, wie dünn die Sicherheitsschicht moderner KI-Assistenten ist: Ein einziger präparierter Link genügte, um Atlassians Unternehmens-KI Rovo fremde Anweisungen unterzuschieben und darüber interne Firmendaten abzugreifen. Entdeckt haben die Schwachstelle die Forscher von Varonis Threat Labs; vorgestellt wurde sie auf der DEF CON 34.
Wie der RovoBlast-Angriff funktioniert
Rovo sitzt als KI-Schicht über Jira, Confluence, Bitbucket und angebundenen Diensten wie Slack, Microsoft 365 und Google Workspace. Genau diese Reichweite wird zum Problem. Der Angriff nutzt den URL-Parameter rovoChatPrompt, der Text direkt in das Chatfenster von Rovo vorbefüllt. Die KI behandelt diese von außen gelieferten Parameter als vertrauenswürdige Eingabe – ohne Jailbreak und ohne Umgehung von Berechtigungen.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Varonis nennt das Muster „Parameter-to-Prompt”-Injection (P2P). Dieselbe Klasse hatten die Forscher im Januar 2026 bereits in Microsoft 365 Copilot unter dem Namen Reprompt beschrieben. Besonders heikel: Die Organisations-ID im Link durfte leer bleiben – Atlassian leitete die Anfrage trotzdem in die eigene Standard-Organisation des Opfers, ganz ohne Warnhinweis.
Vom Klick zum Datenabfluss
Der eigentliche Schaden entstand über ResearchAgent, ein eingebautes Rovo-Werkzeug, das eigenständig im Web recherchieren und beliebige Seiten ansteuern kann. Einmal mit der Angreifer-Anweisung versorgt, zog Rovo interne Daten zusammen und schob sie in einer automatisierten Kette ins offene Netz. Laut SecurityWeek exfiltrierten die Forscher in drei Machbarkeitsnachweisen Confluence-Seiten, Jira-Tickets und SharePoint-Inhalte mit personenbezogenen Daten – ein einziger geseedeter Link reichte meist aus.
RovoBlast ist behoben – der Angriffstyp bleibt
Varonis meldete die Lücke verantwortungsvoll an Atlassian, das sie serverseitig und noch vor der Veröffentlichung schloss. Atlassian betont, für einen Angriff müsse ein Nutzer mit Zugriff auf die Instanz zunächst manipulierte Inhalte an Rovo weitergeben – eine Angriffsklasse, die KI-Systeme branchenweit betreffe. Das stimmt, entlässt Unternehmen aber nicht aus der Verantwortung. Ähnliche Risiken durch verwundbare KI-Werkzeuge kennt man etwa vom KI-Baukasten Langflow.
Wer Rovo oder vergleichbare Agenten einsetzt, sollte deshalb handeln:
- die anbindbaren Systeme bewusst einschränken und ungenutzte Integrationen trennen;
- sensible Bereiche wie Recht, Personal und Finanzen abschotten;
- autonome Browsing- und Mehrschritt-Funktionen deaktivieren, solange sie nicht gebraucht werden;
- die Aktivitätsprotokolle des Assistenten regelmäßig prüfen.
Die Lehre aus RovoBlast: Ein KI-Agent mit weitreichendem Datenzugriff ist nur so sicher wie seine schwächste Eingabe. Wer Automatisierung will, muss die Grenzen dieser Automatisierung genauso ernst nehmen.
Quellen
- SecurityWeek: Critical One-Click Vulnerability in Atlassian’s Rovo AI
- Varonis Threat Labs: RovoBlast
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden