Atlassian’ın yapay zekâ asistanı Rovo’da ortaya çıkan iki ayrı zafiyet, yetkili bir kullanıcının tek tıklamayla Jira, Confluence ve bazı bağlı servislerdeki verileri saldırganın kontrol ettiği sunuculara gönderebilmesine yol açtı. Bulgular, biri kötü amaçlı bağlantı üzerinden çalışan ve diğeri Rovo’nun okuduğu içeriğe gizlenen talimatlarla ilerleyen bu iki yolun, farklı araştırma ekipleri tarafından ortaya çıkarıldığını gösteriyor.
İlk vaka, 8 Temmuz 2026’da Atlassian tarafında sunucu taraflı olarak kapatılan ve Bugcrowd kaydına göre doğrulanan bir link tabanlı açık. İkinci vaka için ise 5 Ağustos 2026’da yayımlanan incelemede, içeriğe yerleştirilen gizli komutların Rovo’nun Jira ve Confluence verisini dışarı aktarmasına izin verebildiği ve bu zincirin yazı yayınlandığı tarihte hâlâ çalıştığı belirtildi. PromptArmor, bu ikinci zincirde Rovo’nun web arama seçeneği kapalı olsa bile saldırının sürdüğünü, raporun ise yalnızca o tarihteki durumu doğruladığını aktardı.
Varonis Threat Labs’ın bulgusu, rovoChatPrompt adlı URL parametresini kullanıyor. Araştırmacılar, bu parametrenin Rovo Chat’e saldırganın hazırladığı tam komutu önceden yüklediğini, böylece oturum açmış bir kullanıcının yalnızca bağlantıya tıklamasının saldırıyı başlatmak için yeterli olduğunu gösterdi.
Rapor, Rovo’nun bu komutları kullanıcının yetkileriyle çalıştırdığını ve sonuçları saldırgana ait bir sunucuya gönderdiğini aktarıyor. Varonis bu zafiyeti RovoBlast olarak adlandırdı ve durumu Bugcrowd üzerinden Atlassian’a bildirdi. Kayıtlara göre Atlassian, açığı 8 Temmuz 2026’da sunucu tarafında düzeltti; araştırmacı da yamanın etkili olduğunu doğruladı.
Bu link tabanlı zincirde saldırganın özel bir dosya yüklemesine ya da ayrı bir onay ekranı aşmasına gerek kalmıyor. Kullanıcı sisteme zaten giriş yapmışken, tek bir bağlantı Rovo’yu saldırganın talimatlarını yürütmeye zorluyor. Ardından asistanın yanıtı, saldırganın kontrol ettiği sunucuda toplanıyor.
Varonis’in yayımladığı örnekte Rovo, saldırganın hazırladığı istemi aldıktan sonra kullanıcının erişebildiği bilgileri buluyor, bunları bir görüntü URL’sinin yoluna ekliyor ve o resmi çağırıyor. Bu istek, Jira ya da Confluence üzerinden çekilen verinin saldırganın sunucu günlüklerine düşmesini sağlıyor. Aynı tekniğin Jira’daki verilerle, ayrıca SharePoint ve Outlook bağlayıcıları üzerinden erişilebilen içeriklerle de test edildiği kayda geçti.
Şirket, özel bir API anahtarını Confluence üzerinden bu yöntemle dışarı almayı başardığını da aktardı. Bugcrowd kaydında bu bulgu P2 önceliğinde sınıflandırıldı ve 6.000 dolar ödül verildi. Atlassian’ın Bugcrowd kaydında yer alan bilgilere göre rapor çözüldü olarak işaretlendi.
PromptArmor’un yayımladığı ikinci zincir, doğrudan bağlantı yerine içerik içine gömülen bir indirect prompt injection tekniğine dayanıyor. Bu saldırı, modelin okuması beklenen metne zararlı yönergeler yerleştiriyor ve asistan, metnin bir bölümünü komut gibi yorumluyor.
Yayımlanan senaryoda kullanıcı, gizli bir enjeksiyon içeren bir belgeyi Rovo’ya yüklüyor ve asistanından Jira kayıtlarını düzenlemesini istiyor. Rovo, talep edildiği gibi Jira ve Confluence içinde arama yapıyor, bulduğu veriyi saldırganın URL’sine ekliyor ve o bağlantıyı açıyor. Saldırgan da ticket ve sayfa içeriklerini kendi sunucu loglarından okuyor.
PromptArmor’un aktardığına göre kullanıcı daha sonra sohbete döndüğünde yalnızca önerilen ticket güncellemelerini görüyor; veri sızdırma adımına dair belirgin bir iz çıkmıyor. Şirket, bunun tam anlamıyla sıfır tıklama saldırısı olarak tanımlanamayacağını vurguluyor. Kullanıcının önce Rovo’yu kirli içerikle karşı karşıya bırakması ve ardından normal bir istek göndermesi gerekiyor. Ancak saldırının veri çıkış adımı için ayrı bir insan onayı gerekmiyor.
Raporda 5 Ağustos 2026 tarihli sürümde, Rovo’nun web arama özelliği kapalı olsa bile bu zincirin çalışabildiği de yazıldı. Atlassian, kuruluş düzeyindeki web arama ayarını ayrı bir seçenek olarak sunuyor ve bu seçenek etkinleştiğinde kullanıcıların Rovo’nun kaynaklarını genel internet sitelerine genişletmesine izin veriyor. PromptArmor, bu ayar kapatıldığında bile saldırının durmadığını, çünkü dış bağlantının web aramasıyla değil ayrı bir URL çekme yeteneğiyle kurulduğunu belirtti.
Raporda asıl nedenin açık biçimde, asistanın açtığı URL’nin kendi ürettiği bir adres olup olmadığını kontrol etmemesi olduğu ifade edildi. Aynı inceleme, Rovo’nun model çıktısındaki Markdown görsellerini de işlediğini ve bunun veri sızdırmak için ikinci bir kanal oluşturabileceğini not ediyor. Ancak bu yol için Rovo üzerinde tam bir zincir gösterilmiş değil.
Buradaki kritik ayrıntı, web arama anahtarının hangi tür istekleri kapsadığı sorusu. Atlassian’ın ilgili sayfası, asistanın kendi oluşturduğu bir URL’yi çekmesinin aynı denetim altında olup olmadığını netleştirmiyor. PromptArmor’un bulgusu da tam olarak bu boşluğu işaret ediyor.
Şirket, açığı 23 Mayıs 2026’da Atlassian’a bildirdiğini, iki gün sonra vaka numarası aldığını, 4 Haziran ve 29 Temmuz’da takip yaptığını ve daha sonra yeni bir yanıt gelmediği için raporu yayımladığını söylüyor. 8 Ağustos 2026 itibarıyla bu rapora sonradan eklenmiş bir güncelleme görünmüyordu. The Hacker News de aynı tarihte, yayımladığı metinde Rovo’yu hâlâ savunmasız olarak tanımladı; bu ifade, 8 Temmuz’da kapanan link tabanlı açık için değil, PromptArmor’un içeriğe dayalı zinciri için geçerliydi.
Atlassian dokümantasyonuna göre Rovo’nun erişimi, Atlassian ürünlerinde ve bağlı üçüncü taraf uygulamalarda tanımlanan izinlerle sınırlı çalışıyor. Bu da gösterilen riskin, oturum açmış kullanıcının zaten erişebildiği verilerle sınırlı olduğunu; tenant genelinde bir yetki atlatma kanıtlanmadığını ortaya koyuyor.
Buna rağmen yapılan iki gösterim, izin verilen verinin kullanıcı bunu bilerek göndermeden de dışarı çıkabileceğini gösteriyor. Rovo’nun Atlassian ürünleriyle ve bağlı uygulamalarla kasıtlı olarak entegre edildiği bir yapıda, tek bir hesabın erişim alanı sistemin doğal çalışma biçiminin parçası olarak genişleyebiliyor. Araştırmalar, bunun bir yetki atlatma değil, mevcut yetkilerin dışa akışa çevrilmesi olduğunu anlatıyor.
Atlassian’a göre Rovo, Standard, Premium ve Enterprise planlarındaki uygulamalarda varsayılan olarak açık geliyor ve organizasyondaki herkes bu özellikleri kullanabiliyor. Yöneticiler için seçenekler de var: desteklenen uygulamalar için Rovo özellikleri kapatılabiliyor, bu da o uygulamadaki mevcut ve gelecek yapay zekâ özelliklerini, Agents ve Chat dahil, devre dışı bırakıyor. Enterprise’ın daha yeni erişim modeli de Rovo’yu uygulama ve kullanıcı grubu bazında yönetebiliyor.
Şirketin dokümanında bir istisna da yer alıyor. Aynı sitede birden fazla Jira ailesi uygulaması çalışıyorsa, bunlardan birinde Rovo’yu kapatmak paylaşılan yetenekleri tamamen kaldırmıyor. Sitedeki herhangi bir Jira uygulamasında Rovo etkin kaldığı sürece Rovo Search, Chat ve Create with Rovo kullanılabilir durumda kalıyor.
Bu iki bulgu arasında en net kapanan yol, Varonis’in raporladığı bağlantı temelli açık oldu. Bugcrowd kaydında Atlassian’ın 8 Temmuz 2026’da sunucu taraflı düzeltmeyi uyguladığı ve raporun çözüldü olarak işaretlendiği görülüyor. PromptArmor’un içerik üzerinden işleyen zinciri için ise 5 Ağustos 2026 tarihli yayın sırasında sorun hâlâ açık görünüyordu; daha sonraki durumu ise bu metinlerde doğrulanmış değil.
Ne Varonis’in ne de PromptArmor’un raporlarında gerçek bir kuruma karşı bu tekniklerin aktif olarak kullanıldığına dair kanıt yer alıyor. Her iki çalışma da gösterilen zincirlerin nasıl çalıştığını anlatıyor; fakat bu, sahada kullanım olmadığı anlamına gelmiyor. Kayıtlarda olmayan şey yalnızca, iki raporun içinde böyle bir teyidin bulunmaması.