Bei KI-Assistenten verschiebt sich das Risiko: Nicht nur unsichere Inhalte oder kompromittierte Konten zählen, sondern auch wie externe Eingaben von der Software als „vertrauenswürdig“ verarbeitet werden. Genau hier setzt eine gemeldete One-Click Schwachstelle in Atlassians Rovo an: Mit einer speziell präparierten Verknüpfung konnten Angreifer Anweisungen direkt in eine laufende KI-Session einschleusen.
Das von Varonis Threat Labs vorgestellte Angriffsszenario trägt den Namen RovoBlast. Entscheidend ist, dass es dabei nicht um klassische Jailbreaks oder das Umgehen von Berechtigungen geht. Stattdessen nutzt der Angriff aus, dass Rovo extern gelieferte Parameter wie vertrauenswürdige Inhalte behandelt.
Was ist Rovo und warum ist das relevant?
Rovo ist ein Enterprise-KI-Assistent von Atlassian. Er bildet eine Art KI-Schicht, die nicht nur in Atlassian-Produkten arbeitet, sondern auch Informationen aus weiteren Diensten zusammenführen kann. Dazu gehören unter anderem Jira, Confluence und Bitbucket. Zudem kann Rovo über Integrationen auf Tools von Drittanbietern zugreifen, etwa Slack, Microsoft 365 und Google Workspace.
Besonders kritisch ist dabei die Unterstützung autonomer Agent-Funktionen. Solche Funktionen können mehrstufige Aufgaben in Gang setzen und ausführen, ohne dass der Nutzer für jeden einzelnen Schritt erneut eingreifen muss. In der Angriffskette war genau dieses Verhalten ein wichtiger Hebel.
Wie funktioniert RovoBlast im Kern?
Varonis beschreibt die Schwachstelle als parameter-to-prompt (P2P) injection. Das bedeutet: Ein Angreifer nutzt einen URL-Parameter, um Inhalte vorzufüllen, die dann als Prompt direkt in das Chatfenster von Rovo übernommen werden.
Im konkreten Fall wird dabei ein URL-Parameter namens rovoChatPrompt eingesetzt. Was für den Nutzer wie ein normaler Link wirkt, kann für die KI wie ein vorbereiteter Auftrag aussehen: Die Inhalte landen direkt in der laufenden Interaktion, ohne dass der Nutzer zuvor eine Warnung oder einen Hinweis erhält.
Warum braucht der Angriff keinen Jailbreak?
Anders als bei vielen bekannten KI-Umgehungen setzt RovoBlast nicht auf „Konversationstricks“, sondern auf eine Design- bzw. Vertrauensannahme. Laut Varonis behandelt der Assistent extern bereitgestellte Parameter als vertrauenswürdige Eingaben. Der Angriff kann daher ohne Jailbreak-Mechanismen oder ohne das gezielte Umgehen von Berechtigungsprüfungen auskommen.
Für Unternehmen ist das besonders relevant: Selbst wenn die KI-Eingabewerte grundsätzlich gefiltert oder „sicherheitsorientiert“ wirken, kann ein Angriff funktionieren, wenn die Anwendung die externe Quelle im eigenen Verarbeitungspfad stillschweigend als legitime Eingabe einstuft.
Der „One-Click“-Effekt: Organisationsteil und fehlende Warnsignale
Das Szenario lässt sich zudem dadurch vereinfachen, dass ein bestimmter Teil der URL – der Organisation-ID-Bereich – leer gelassen werden kann. Atlassian routet die Anfrage dann trotzdem in die Standardorganisation des Opfers, ohne dass ersichtlich wäre, dass die Sitzung von außen „vorbereitet“ wurde.
In der Praxis heißt das: Der Angriff muss den Nutzer nicht dazu bringen, komplexe Schritte auszuführen oder mehrere Aktionen zu verketten. Ein einzelner präparierter Link kann genügen, um die KI-Session in eine unerwünschte Richtung zu lenken.
Welche Daten konnten abgefragt werden?
Um die mögliche Reichweite zu bewerten, fragten die Forschenden Rovo, welche Informationen es sehen könne. Die Antwort fiel breit aus. Als potenziell abrufbar wurden genannt:
- Daten aus Jira
- Informationen aus Confluence
- Inhalte aus Bitbucket
- Daten aus Slack
- Material aus Google Workspace
- Inhalte aus Microsoft 365
- relationale Datenbanken,
- hochgeladene Dateien
- Webseiten
- archivierte Inhalte
Wichtig ist: Die Forschenden zeigen damit nicht nur, dass der Assistent Daten „kennt“, sondern dass er sie über die vorgesehenen Zugriffe auch tatsächlich nutzen bzw. weiterverarbeiten kann.
Der entscheidende Auslöser: ResearchAgent und die automatische Kette
Die eigentliche Datenabfluss-Phase hängt laut Varonis an einem eingebauten Werkzeug: ResearchAgent. Diese Komponente kann eigenständig eine mehrquellige Webrecherche durchführen und sich über beliebige Seiten bewegen.
Sobald ein Angreifer es schafft, den Prompt über den bösartigen Link einzuspeisen, kann Rovo durch die Kombination aus geerbter Eingabe und Agent-Fähigkeiten interne Informationen abrufen und sie anschließend weitergeben. Die Forschenden beschreiben dies als eine automatisierte Kette, die in einem Durchgang funktionieren kann.
Nachweise: drei Proof-of-Concept-Szenarien
Varonis demonstrierte die Methode in drei getrennten Proof-of-Concept-Beispielen. Dabei ging es um das Exfiltrieren bzw. Ausleiten von:
- Confluence-Seiten
- Jira-Tickets
- SharePoint-Inhalten mit personenbezogenen Daten
Auch hier zeigt sich der „One-Click“-Charakter: Die Forschenden fanden, dass in vielen Fällen bereits ein einzelner präparierter Link ausreicht, um den Datenabruf und die Zusammenfassung sensibler Inhalte anzustoßen. Eine aufwendige Verknüpfung mehrerer Requests oder zusätzliche Umgehungsschritte waren nicht zwingend erforderlich.
Reaktion des Herstellers
Varonis meldete die Schwachstelle an Atlassian. Laut Bericht wurde der Fehler vor der Veröffentlichung der Ergebnisse behoben. Damit ist die wichtigste praktische Konsequenz klar: Wer Rovo in einem Unternehmensumfeld einsetzt, sollte umgehend prüfen, ob die betroffenen Instanzen auf dem aktuellen Stand sind.
Ein Atlassian-Sprecher betonte außerdem, dass der Schutz der Kundendaten höchste Priorität habe. Gleichzeitig weist das Unternehmen darauf hin, dass diese Art von Angriff in der Branche grundsätzlich relevant ist und Maßnahmen auf Vertrauenswürdigkeit, sichere Inhalte und verlässliche Sicherheitspraktiken erfordert.
Empfohlene Schutzmaßnahmen für Unternehmen
Varonis empfiehlt Organisationen, die Reichweite von Rovo konsequent zu begrenzen. Dazu zählen vor allem folgende Schritte:
- Zugriff auf Systeme einschränken, auf die Rovo zugreifen darf.
- Integrationen abschalten, die nicht benötigt werden.
- Sensibilisierte Bereiche abschotten, etwa Recht, HR und Finance.
- Browsing oder mehrstufige Automatisierung deaktivieren, wenn diese Funktionen nicht aktiv genutzt werden.
- Regelmäßiges Monitoring der Protokolle zur Assistentenaktivität einführen.
Der Kernpunkt ist, dass selbst wenn die KI-Funktion grundsätzlich im Unternehmen erlaubt ist, nicht alle Datenquellen automatisch „offen“ bleiben müssen. Je weniger Systeme und sensiblen Bereiche erreichbar sind, desto geringer ist die potenzielle „Blast Radius“-Wirkung eines missbräuchlichen Prompts.
Checkliste: Was Sie jetzt konkret prüfen sollten
Wenn Sie Rovo im Einsatz haben, hilft diese pragmatische Reihenfolge:
- Update-Status prüfen: Sicherstellen, dass Ihre Instanz die Korrektur enthält.
- Integrationen aufräumen: Entfernen Sie Verbindungen zu Diensten, die Sie nicht brauchen.
- Agent-Funktionen bewerten: Mehrstufige Automatisierung nur dort aktivieren, wo sie zwingend notwendig ist.
- Datenzonen absichern: Zugriffe auf Bereiche wie HR, Legal und Finance reduzieren.
- Logs überwachen: Achten Sie auf ungewöhnliche Muster in Assistentenaktionen und Ausführungsketten.
- Benutzer sensibilisieren: Wie bei Phishing gilt: Inhalte aus unbekannten Quellen können gefährlich sein, auch wenn sie „nur als Link“ erscheinen.
Mit diesen Maßnahmen adressieren Sie nicht nur die gemeldete One-Click Schwachstelle, sondern reduzieren zugleich Risiken aus verwandten Prompt-Injection-Ansätzen.
Fazit: Prompt-Vertrauen ist ein Sicherheitsproblem
RovoBlast macht deutlich, dass KI-Assistenten nicht nur durch klassische Schwachstellen gefährdet sind. Entscheidend ist auch, wie Anwendungen externe Eingaben als vertrauenswürdig einstufen und wie Agent-Funktionen mehrstufige Aktionen ausführen können. Die gemeldete One-Click Schwachstelle zeigt: Ein einziger präparierter Link kann reichen, um eine KI-Session in Richtung Datenabfluss zu lenken.
Wenn Sie Rovo betreiben, setzen Sie daher auf zeitnahe Updates, restriktive Zugriffskontrollen, reduzierte Integrationsbreite und kontinuierliches Monitoring. So verringern Sie die Wahrscheinlichkeit, dass ein manipuliertes Prompt die Kontrolle über die Datenflüsse übernimmt.
