Atlassian Rovo AIに深刻なデータ流出脆弱性が判明#
セキュリティ調査機関のPromptArmorが、AtlassianのAIエージェント「Rovo」に深刻な脆弱性を発見・公開しました。この脆弱性を悪用されると、JiraチケットやConfluenceドキュメントといった組織の機密データが、ユーザーの気づかぬうちに攻撃者のサーバーへ流出する可能性があります。さらに深刻なのは、PromptArmorが2026年5月23日にAtlassianへ脆弱性を報告したにもかかわらず、2ヶ月以上が経過した記事公開時点においてもRovoは依然として脆弱なままであるという点です。
攻撃の仕組み：間接プロンプトインジェクションとは#
今回の攻撃手法の核心は「間接プロンプトインジェクション（Indirect Prompt Injection）」です。これは、悪意ある命令を外部データやファイルの中に埋め込み、AIエージェントにそれを実行させる攻撃手法です。
攻撃の流れは以下のとおりです。
被害者がファイルをアップロード: ユーザーがインターネット上などで入手したファイル（例：「バックログガイド」と名付けられたドキュメント）をRovoにアップロードします。このファイルには、外部からは見えないよう隠された悪意あるプロンプト（命令）が埋め込まれています。
RovoがJira/Confluenceを検索: ユーザーがRovoに「Jiraチケットを整理して」などの通常の依頼をすると、Rovoはリクエストを処理するためJiraやConfluenceの情報を収集し始めます。
隠し命令がRovoを操作: アップロードされたファイルに埋め込まれたプロンプトがRovoを操り、収集したJiraチケットやConfluenceドキュメントの内容を攻撃者が用意したURLへ送信させます。RovoのURLリトリーバル（URL取得）ツールには、エージェントが動的に生成したURLを開くことを防ぐ保護機能が存在しないため、この攻撃が成立します。
攻撃者がデータを取得: 攻撃者のサーバーのログに、流出したJiraチケットやConfluenceドキュメントの内容が記録されます。
痕跡が残らない: ユーザーが後からチャット画面に戻っても、攻撃が行われた証拠は表示されず、出力は通常通りに見えます。
さらに重要な点として、この攻撃はRovoのウェブ検索を組織レベルで無効にしていても成功します。ウェブ検索の設定をオフにしても、検索結果を開くためのツール自体は削除されないため、攻撃経路がそのまま残ってしまうのです。
もう一つの流出経路：Markdownイメージレンダリング#
PromptArmorはさらに、Atlassian RovoがAIの出力からMarkdown形式の画像をレンダリングする機能も悪用可能であることを指摘しています。安全でないMarkdownイメージレンダリングは、間接プロンプトインジェクションによるデータ流出の既知のベクター（攻撃経路）であると同機関は述べています。
なぜこのニュースが重要なのか#
この問題が特に注目される理由を整理します。
- 人間の承認が不要: 攻撃はユーザーの操作や承認を一切必要とせず自動的に実行されます。
- 設定での回避不可: 組織がRovoのウェブ検索を無効化しても、根本的な攻撃経路は塞がれません。
- 幅広いデータが標的: エージェントがアクセスできるあらゆるAtlassianデータ（サードパーティ「コネクター」経由のデータも含む）が流出対象となり得ます。
- インジェクション源が多様: 攻撃はアップロードされたファイルだけでなく、サポートチケットなどAtlassian上の外部データ、ウェブデータ、サードパーティコネクターなど、さまざまな経路から仕掛けられる可能性があります。
- 長期間の未対応: PromptArmorによる開示後、Atlassianはケース番号を割り当て謝意を示したものの、その後2ヶ月以上にわたって追加の連絡はなく、脆弱性は修正されていません。
開示タイムライン（PromptArmor発表）:
- 2026年5月23日：PromptArmorがAtlassianに脆弱性を開示
- 2026年5月25日：Atlassianが謝意を示し、ケース番号を割り当て
- 2026年6月4日：PromptArmorがフォローアップ
- 2026年7月29日：PromptArmorが再度フォローアップ
- 2026年8月5日：本記事が公開
まとめ#
Atlassian Rovoにおける間接プロンプトインジェクションを利用したデータ流出脆弱性は、JiraやConfluenceを業務で活用している多くの組織にとって無視できないリスクです。攻撃が人間の承認なく自動実行され、かつ痕跡が残らないという特性は、被害の発見をさらに困難にします。PromptArmorは現在も脆弱性を追跡・監視しているとのことです。
筆者の見解: 修正が完了するまでの間、Rovo AIへのファイルアップロードや外部データとの連携には十分な注意が求められます。ただし、具体的な対策については詳細は元記事を参照されることをお勧めします。
