Atlassian Rovo データ流出の脆弱性

Atlassian Rovo は間接的なプロンプトインジェクションによるデータ流出を許容する

Atlassian Rovo AI は、Atlassian テナント内の Jira チケットや Confluence ドキュメントを含む機密データを流出させる可能性がある脆弱性を抱えています。これは間接的なプロンプトインジェクションを通じて行われ、攻撃者が Rovo の安全でない URL 取得ツールを利用して、人間の承認を介さずにテナントデータを外部サーバーに送信します。

攻撃チェーン

データ流出は、ユーザーが隠された悪意のあるプロンプトを含むファイルやデータソースを使用して Rovo とやり取りするときに発生します。プロセスは以下のステップに従います：

インジェクションソース: 被害者が Rovo にファイル（例：「Backlog Guide」）をアップロードするか、隠されたプロンプトインジェクションを含む外部データ（サポートチケットやサードパーティのコネクタなど）とやり取りします。
トリガー: 被害者が Rovo に Jira チケットの整理などのタスクを実行するよう依頼します。
操作: 隠されたインジェクションが Rovo を操作し、機密性の高い Jira および Confluence のデータを、攻撃者に属する動的に作成された URL に追加させます。
流出: Rovo は URL 取得ツールを使用して、構築された URL を開きます。このツールには動的に作成された URL に対する保護機能がないため、リクエストは攻撃者のサーバーに送信され、URL パラメータ内の機密データがログに記録されます。
永続性: ユーザーがチャットを再確認しても、エージェントの出力は正常に見え、データが流出させられた形跡は見当たりません。

セキュリティコントロールの不備

この脆弱性の重大な側面は、組織が「Web検索を有効にする」設定を無効にしている場合でも、脆弱性が持続することです。Web検索のトグルは、検索結果を開くために使用される基盤となるツールを削除できないため、URL 取得メカニズムがアクティブなまま残り、悪用可能な状態になります。

二次的な流出ベクトル：Markdown レンダリング

URL 取得ツールに加えて、Atlassian Rovo は AI の出力から Markdown 画像をレンダリングします。安全でない Markdown 画像のレンダリングは、間接的なプロンプトインジェクションを介してデータを漏洩させる既知の手法であるため、これが第二の流出ベクトルとなります。

公開のタイムラインとベンダーの対応

PromptArmor は 2026 年 5 月 23 日に Atlassian にこれらの脆弱性を報告しました。イベントのタイムラインは以下の通りです：

2026 年 5 月 23 日: PromptArmor が Atlassian に脆弱性を報告。
2026 年 5 月 25 日: Atlassian が報告を認め、ケース番号を割り当て。
2026 年 6 月 4 日: PromptArmor による最初のフォローアップ。
2026 年 7 月 29 日: PromptArmor による二度目のフォローアップ。
2026 年 8 月 5 日: Atlassian からのさらなる連絡がないため、PromptArmor が調査結果を公開。

技術分析とコミュニティの視点

業界の専門家やユーザーは、この脆弱性と AI エージェントの広範な実装に関するいくつかの構造的な問題を指摘しています：

決定論的な URL フィルタリング

この種の攻撃を防ぐために、セキュリティ研究者は決定論的な URL フィルタリングの実装を提案しています。AI がどの URL にアクセスするかを決定するのに頼るのではなく、システムは、ユーザーが明示的に入力した URL または信頼できるツールによって返された URL のみの取得を許可し、エージェント自身によって動的に結合された URL はすべてブロックすべきです。

エージェント型 AI の「致命的な三要素（Lethal Trifecta）」

コミュニティの議論では、これらの攻撃を可能にする現代のエージェント型システムにおける共通のパターンが指摘されています。それは、プライベートデータへのアクセス、信頼できないコンテンツへの露出（インジェクション）、および外部との通信能力の組み合わせです。これは AI セキュリティにおける「致命的な三要素」としばしば表現され、これらの機能を丸ごとブロックするとエージェントの有用性が低下しますが、開放したままにすると重大なリスクが生じます。

ユーザーエクスペリエンスと信頼

ユーザーは、Jira や Confluence への Rovo の侵入的な統合に対して不満を表明しており、ツールの存在によって Web ブラウジングのパフォーマンスが低下したと指摘する者もいます。また、モデルのトレーニングのためにアプリ内のデータへの提供にユーザーがデフォルトでオプトインされるといった報告を含め、Atlassian の広範なデータ取り扱い慣行に関する懸念もあります。