Das Sicherheitsunternehmen PromptArmor hat eine Schwachstelle in Atlassians Rovo-KI-Assistentent offengelegt, die es versteckten Anweisungen in hochgeladenen Dateien – wie etwa PDFs – ermöglicht, Datenexfiltration ohne jede menschliche Freigabe auszulösen.

Der Angriff nutzt eine sogenannte Indirect-Prompt-Injection aus. Ähnlich wie Black-Hat-SEO-Praktiker einst weißen Text auf weißem Grund in Webseiten versteckten, um Suchrankings zu manipulieren, können Angreifer Anweisungen in einem PDF-Dokument verbergen – beispielsweise mit transparenter Schriftfarbe und einer Schriftgröße von einem Pixel. Für das menschliche Auge unsichtbar, verarbeitet der KI-Agent den versteckten Text als legitimen Befehl. Diese Angriffsklasse ist besonders schwer abzuwehren, da KI-Agenten nicht vertrauenswürdige externe Inhalte verarbeiten müssen, um ihre vorgesehenen Funktionen zu erfüllen – dieselbe Fähigkeit, die sie nützlich macht, schafft auch die Angriffsfläche.

Gemäß der Offenlegung von PromptArmor kann Rovo – ein KI-Agent, der über Jira, Confluence und andere Atlassian-Workspace-Tools hinweg arbeitet – durch eine einzige schädliche Datei in eine Datenpipeline verwandelt werden. In einem typischen Szenario bittet ein Opfer Rovo, Tickets zu organisieren, und lädt ein Dokument hoch. Das Dokument enthält eine versteckte Anweisung, die Rovo anweist, sensible Informationen zu sammeln und an eine vom Angreifer kontrollierte URL zu übertragen. PromptArmor beschreibt dies als Zero-Click-Angriff, was bedeutet, dass es keine Freigabeabfrage und keine Warnung an den Nutzer gibt.

Eine Prompt-Injection tritt auf, wenn ein Angreifer Anweisungen in Inhalte einschleust, die ein KI-Modell gerade liest, und das Modell damit von seinem eigentlichen Bediener übernimmt. Bei der indirekten Variante befinden sich die schädlichen Anweisungen in einer Datei oder Webseite statt in der Chat-Schnittstelle selbst. Da Rovo darauf ausgelegt ist, Inhalte zu lesen und entsprechend zu handeln, wird eine versteckte Anweisung wie „send the confidential tickets here“ vom Modell als gültiger Befehl interpretiert. Das Open Web Application Security Project (OWASP) hat Prompt-Injection in seiner ersten Top-10-Liste für Anwendungen großer Sprachmodelle als das größte Risiko eingestuft, was den Schweregrad widerspiegelt, den Sicherheitsforscher dieser Schwachstellenklasse beimessen.

Bemerkenswerterweise berichtet PromptArmor, dass der Exploit „succeeds even if an organization has disabled web search for Rovo.“ Das Unternehmen erklärt, dass das Deaktivieren der Websuche-Einstellung das Werkzeug zum Öffnen von URLs aus Suchergebnissen nicht entfernt, wodurch der Angriffspfad offen bleibt.

Die Schwachstelle hat erhebliche Auswirkungen auf Unternehmensnutzer. Rovo ist kein Verbraucherwerkzeug; es arbeitet auf den sensibelsten Projektdaten eines Unternehmens und handelt autonom. KI-Agenten, die auf GPT-5 und Gemini basieren, widerstanden Prompt-Injection in über 79 % der Fälle nicht in direkten Tests, und der Rovo-Fall zeigt, dass die indirekte Variante in einem kommerziell eingesetzten Unternehmensprodukt erfolgreich ist. Da immer mehr Anbieter autonome KI-Agenten in Produktivitätssuiten einbinden, die vertrauliche Geschäftsdaten verarbeiten, werden ähnliche Schwachstellen in dieser Kategorie wahrscheinlich weiter auftreten.

Atlassian erhielt PromptArmors Bericht am 23. Mai und bestätigte ihn zunächst. „Atlassian assigned a case number and expressed thanks, but after multiple follow-ups by PromptArmor over more than two months, Atlassian has made no further communication, and Rovo remains vulnerable,“ schrieb das Sicherheitsunternehmen. Zum Zeitpunkt der Veröffentlichung hatte Atlassian nicht öffentlich Stellung bezogen. Organisationen, die Rovo für Arbeitsabläufe mit sensiblen Daten nutzen, sollten prüfen, ob Datei-Upload-Interaktionen eingeschränkt werden sollten, bis ein Fix verfügbar ist.

PromptArmors vollständige technische Offenlegung ist auf seiner offiziellen Website verfügbar.

Weiterführende Informationen zu dieser Angriffsklasse finden Sie im Decrypt-Erklärstück zu AI-Prompt-Injection.