Kurz zusammengefasst
- Das Sicherheitsunternehmen PromptArmor sagt, dass der KI-Assistent Rovo durch versteckte Anweisungen in einer hochgeladenen Datei wie PDFs dazu gebracht werden kann, Daten ohne menschliche Genehmigung zu exfiltrieren.
- Der Trick funktioniert auch, wenn eine Organisation die Websuche von Rovo deaktiviert, da das URL-Öffnungs-Tool aktiv bleibt.
- Atlassian, der Hersteller von Rovo, erhielt den Bericht am 23. Mai und schwieg; zwei Monate später ist Rovo laut dem Sicherheitsunternehmen weiterhin verwundbar.
Erinnern Sie sich an die Zeiten, als Black-Hat-SEOs Webseiten mit weißen Schlüsselwörtern auf weißem Grund vollstopften – für Leser unsichtbar, für Google lesbar – um die Suchrankings zu manipulieren? Hacker machen jetzt dasselbe mit KI-Modellen. Der Angreifer versteckt Anweisungen in einem PDF-Dokument, das Modell kann nicht zwischen den Worten des Benutzers und den eingepflanzten unterscheiden, und es gehorcht.
Laut PromptArmors Offenlegung kann Rovo – Atlassians Agent, der sich über Jira, Confluence und den Rest Ihres Arbeitsbereichs erstreckt – mit einer einzigen vergifteten Datei in eine Datenpipeline verwandelt werden. Ein Opfer bittet Rovo, einige Tickets zu organisieren, lädt ein Dokument hoch, und das Dokument trägt einen versteckten Prompt (zum Beispiel eine Anweisung, die in transparenter Farbe und mit einer Schriftgröße von 1 Pixel geschrieben ist).
Das Auge kann es nicht sehen, aber ein Agent erkennt diesen Text als einen weiteren Text im Dokument. Dieser Prompt weist Rovo an, sensible Daten zu sammeln und auf eine vom Angreifer kontrollierte URL zu übertragen. Das Unternehmen nennt dies einen Zero-Click-Angriff. Es gibt keinen Genehmigungsklick und keine Warnung.
Eine Prompt-Injection liegt vor, wenn jemand Anweisungen in Inhalte einschleust, die eine KI liest, und sie so von ihrem eigentlichen Betreiber entführt. „Indirekt“ bedeutet nur, dass das Gift in einer Datei oder Webseite steckt und nicht im Chatfenster. Rovos Aufgabe ist es, Dinge zu lesen und darauf zu reagieren, daher erscheint eine versteckte Zeile wie „senden Sie die vertraulichen Tickets hierher“ dem Modell wie ein legitimer Befehl.
PromptArmor sagt, dass der Leak „selbst dann erfolgreich ist, wenn eine Organisation die Websuche für Rovo deaktiviert hat. Dies liegt daran, dass die Websuche-Einstellung das Tool zum Öffnen der Suchergebnisse nicht entfernt.“ Schalten Sie die Funktion ab, und die Tür bleibt offen.
Rovo ist kein Werkzeug für Hobbyisten. Es sitzt auf den sensibelsten Projektdaten eines Unternehmens und handelt eigenständig. KI-Agenten, die auf GPT-5 und Gemini basieren, konnten in direkten Tests in mehr als 79% der Fälle Prompt-Injection nicht widerstehen – und Rovo zeigt, dass die indirekte Variante in einem ausgelieferten Unternehmensprodukt landet. Das Muster wiederholt sich, wenn Agenten, die lesen und handeln können, in die falsche Richtung gelenkt werden.
Atlassian hat den Bericht bearbeitet und sich bei PromptArmor bedankt, so das Unternehmen, dann wurde es still. Rovo, so schlussfolgert PromptArmor, "bleibt verwundbar."
"Atlassian hat eine Fallnummer zugewiesen und Dank ausgedrückt, aber nach mehreren Nachfragen von PromptArmor über mehr als zwei Monate hat Atlassian keine weitere Kommunikation geführt, und Rovo bleibt verwundbar," schrieb das Unternehmen.
