Ausgangspunkt des von Varonis als „RovoBlast“ bezeichneten Angriffs war ein URL-Parameter namens „rovoChatPrompt“. Dieser füllt Inhalte direkt in das Chatfenster von Rovo ein. Varonis beschreibt diesen Pfad als Parameter-zu-Prompt-Injection, kurz P2P. Die Forscher hatten eine ähnliche Technik bereits im Januar bei Microsoft Copilot unter dem Namen „Reprompt“ gemeldet.

Besonders problematisch war laut Varonis, dass der Teil der URL mit der Organisations-ID leer bleiben konnte und Atlassian die Anfrage trotzdem an die Standardorganisation des Opfers weiterleitete. Für den Nutzer gab es dabei weder eine Warnung noch einen Hinweis darauf, dass die laufende Sitzung durch eine externe Quelle mit Vorgaben versehen worden war.

Um den möglichen Umfang des Problems zu prüfen, fragten die Forscher Rovo schlicht, auf welche Daten es zugreifen könne. Die Antwort der KI umfasste Jira, Confluence, Bitbucket, Slack, Google Workspace, Microsoft 365, relationale Datenbanken, hochgeladene Dateien, Webseiten und archivierte Inhalte.

Die eigentliche Datenabflusskette lief über „ResearchAgent“, eines der integrierten Werkzeuge von Rovo. Dieses kann laut Varonis autonom Webrecherchen über mehrere Quellen hinweg durchführen und beliebige Seiten ansteuern. War die schädliche Eingabe einmal über den Link in die Sitzung eingebracht, konnte Rovo mit derselben Funktion interne Daten abrufen und in einer automatisierten Kette ins offene Web übertragen.

Varonis demonstrierte die Methode in drei getrennten Proof-of-Concept-Szenarien: bei der Exfiltration von Confluence-Seiten, Jira-Tickets und SharePoint-Inhalten mit personenbezogenen Daten. Nach Angaben der Forscher reichte in der Regel bereits ein einziger präparierter Link aus, um den Abfluss auszulösen. Es war weder nötig, mehrere Anfragen zu verketten, noch waren weitere Umgehungsschritte erforderlich, damit Rovo sensible Daten abruft und zusammenfasst.

Varonis meldete die Schwachstelle an Atlassian, und Atlassian schloss die Lücke vor der Veröffentlichung der Ergebnisse. Ein Sprecher des Unternehmens erklärte gegenüber SecurityWeek, die Sicherheit der Kundendaten habe höchste Priorität. Man arbeite mit Kunden daran, Schutzmechanismen in deren Instanzen umzusetzen. Das sei eine fortlaufende und sich weiterentwickelnde Aufgabe, und Atlassian arbeite aktiv an zusätzlichen Lösungen und investiere darin.

Der Atlassian-Sprecher erklärte außerdem, dass für eine Ausnutzung ein Nutzer mit Zugriff auf die Atlassian-Instanz eines Kunden nicht vertrauenswürdige Inhalte mit einer Prompt-Injection an Rovo übergeben müsse. Dabei handle es sich um eine Angriffsklasse, die KI-Systeme branchenweit betreffe. Ähnlich wie bei Angriffen vom Typ Phishing empfehle Atlassian, bewährte Sicherheitspraktiken einzuhalten und zu prüfen, dass Inhalte für Atlassian-Anwendungen aus vertrauenswürdigen Quellen stammen.

Varonis rät Unternehmen, den Zugriffsumfang von Rovo auf verbundene Systeme einzuschränken, ungenutzte Integrationen zu trennen, sensible Bereiche wie Rechtsabteilung, Personal und Finanzen abzuschotten, Browser- oder Mehrschritt-Automatisierungsfunktionen ohne aktiven Bedarf zu deaktivieren und die Aktivitätsprotokolle des Assistenten regelmäßig zu überwachen. Vorgestellt wurden die Forschungsergebnisse von Varonis am Freitag auf der DEF CON 34; eine technische Analyse ist im Varonis-Blog verfügbar.