AtlassianのAI「Rovo」に文書を読ませるだけで社内データが外部送信される脆弱性が発見される

AtlassianのAIサービス「Atlassian Rovo」に、悪意ある命令を埋め込んだ文書を読み込ませるだけで、JiraやConfluenceの社内データを外部へ送信できる脆弱(ぜいじゃく)性が見つかりました。セキュリティ企業のPromptArmorによると、利用者による送信承認は必要なく、組織の管理者がウェブ検索を無効にしていても攻撃を防げないとのことです。

Atlassian Rovo Exfiltrates Data, Bypassing Controls | PromptArmor
https://www.promptarmor.com/resources/atlassian-rovo-exfiltrates-data

RovoはJiraやConfluenceなどに保存された情報を横断的に検索し、質問への回答や文書の要約を行うAIサービスです。複数のサービスに分散した社内情報を探しやすくする一方で、外部から受け取った文書に隠された命令を利用者の指示として処理する「間接プロンプトインジェクション」の影響を受ける可能性があります。

PromptArmorが公開した検証では、利用者がRovoのチャット画面に「このガイドを使ってチケットを整理してください」と入力し、Jiraの作業手順をまとめたPDFを添付しています。利用者の依頼自体は一般的な業務指示であり、画面上から攻撃につながる要素を見分けることはできません。

添付されたPDFは「Jira Backlog Organization Guide」という通常の作業手順書に見えます。しかしPDF内には行間を0.1、文字サイズを1ポイントに設定し、白い背景に白い文字で記述した命令が隠されていました。人間には見えない文字でも、文書全体を解析するRovoは命令として読み取ってしまいます。

Rovoは依頼を受けると、まずJira内にある未処理のチケットを確認します。検証画面では「KAN」プロジェクトに10件の未処理チケットがあると判断し、各チケットに関連するConfluenceのページを探し始めました。

問題は必要な情報を集め終えた後の動作です。PDF内に隠された命令は、JiraのチケットとConfluenceの文書を指定された外部URLへ送信するようRovoに指示していました。検証画面にはRovoが複数のURLを読み込んだ後、「各チケットを評価用URLへ送信する必要がある」と判断し、URLを開くための機能を呼び出そうとする様子が記録されています。

外部送信が行われても、利用者に表示されるのは通常の作業結果です。検証画面にはKAN-10からKAN-1までのチケットが一覧表示され、それぞれに整理後の概要が付けられています。利用者から見るとRovoが依頼通りにチケットを整理したように見えるため、裏側で社内データが送信されたことには気付きにくいとのこと。

一方で攻撃者側のアクセス記録には、Jiraのチケット番号や担当者、優先度、チケットの概要などが保存されていました。さらに「CONFLUENCE PAGES」と記された部分には、Rovoが参照したConfluence文書の本文も記録されています。単に外部URLへアクセスしただけではなく、URLに社内情報を含めることでデータを持ち出していたことが分かります。

AtlassianはRovoによる公開ウェブ検索を無効にする設定を提供しています。しかし、Rovoが指定されたURLを開く機能までは停止しないため、攻撃者がURLを直接生成させれば設定を回避できるとのこと。Markdown形式の画像を読み込む通信を使ったデータ送信も可能だと報告されています。

PromptArmorは2026年5月23日にAtlassianへ脆弱性を報告しましたが、8月5日の情報公開まで詳しい回答は得られなかったと説明し、Atlassianによる対応や利用者向けの案内を待っていると述べています。