Verstopte tekst in pdf laat AI-assistent Rovo bedrijfsdata lekken

Atlassian bouwde Rovo als AI-assistent die meekijkt in Jira, Confluence en andere bedrijfstools. Werknemers gebruiken de assistent om taken te organiseren, documenten samen te vatten of tickets te doorzoeken. Juist die brede toegang tot interne data maakt het nieuw ontdekte beveiligingslek zo gevaarlijk, meldt PromptArmor in een analyse.

De aanval draait om een truc die bekendstaat als prompt injection: verborgen instructies die een AI-agent misleiden zonder dat een mens ze ziet. In dit geval verstopt de aanvaller die instructies in witte tekst op een witte achtergrond, ergens in een pdf-bestand. Voor het menselijk oog is er niets te zien. Zodra een gebruiker die pdf uploadt en Rovo vraagt om bijvoorbeeld Jira-tickets te ordenen, leest de assistent ook de onzichtbare tekst en voert die uit als instructie.

Hoe de data naar buiten lekt

Rovo doorzoekt vervolgens Jira en Confluence naar de gevraagde interne informatie: tickets met beschrijvingen, verantwoordelijken en prioriteiten, of Confluence-pagina's met bijvoorbeeld onboarding-handleidingen en beschrijvingen van de systeemarchitectuur. Die gegevens plakt de verborgen instructie in een lange internetlink. Rovo beschikt over een ingebouwd gereedschap om URL's te openen, de zogeheten UrlReadTool, en gebruikt dat om de link te bezoeken. Daarmee belandt de gestolen data automatisch op de server van de aanvaller. De gebruiker ziet in de chat niets vreemds gebeuren.

Opvallend is dat organisaties zich hier niet eenvoudig tegen kunnen wapenen. Websearch uitschakelen voor Rovo helpt niet, want dat verwijdert alleen de zoekfunctie en niet de tool waarmee de assistent URL's opent. PromptArmor vond bovendien een tweede lekroute: Rovo toont afbeeldingen die het zelf via Markdown-code genereert. Ook via die functie kan data ongemerkt naar een extern adres verdwijnen, een aanvalsvorm die al langer bekendstaat als risico bij AI-agents.

Atlassian reageert niet

Volgens PromptArmor is het probleem niet beperkt tot pdf-uploads. Ook supportverzoeken, webpagina's of gegevens die binnenkomen via gekoppelde diensten van derden kunnen als bron voor de verborgen instructies dienen. Het bedrijf meldde de kwetsbaarheid op 23 mei 2026 bij Atlassian. Twee dagen later kreeg de melding een zaaknummer en een bedankje, maar op vervolgberichten van 4 juni en 29 juli kwam geen inhoudelijke reactie. Op de publicatiedatum van 5 augustus was het lek nog altijd niet gedicht.

Het incident staat niet op zichzelf. Eerder dit jaar meldden onderzoekers een vergelijkbare zwakte in Microsoft Copilot via Word-documenten, en concurrent Anthropic werkt aan extra beveiligingslagen tegen dit soort aanvallen in de eigen producten. Prompt injection blijft daarmee een hardnekkig probleem voor de hele sector: zolang AI-agents automatisch tekst uit documenten, websites en tickets verwerken, kunnen kwaadwillenden die tekst gebruiken om de agent tegen zijn eigenaar te keren.