PDF内の隠しテキストだけで、AtlassianのAIエージェントRovo経由で機密データが盗まれる危険性

AtlassianのAIエージェント「Rovo」には、間接的なプロンプトインジェクションの脆弱性があり、攻撃者がJiraのチケットやConfluenceのドキュメントから機密の企業データを窃取できる可能性があります。セキュリティ企業のPromptArmorがこの欠陥を文書化しましたが、ユーザーの確認を必要とせず、チャットには痕跡が残らないとされています。RovoはAtlassianの全製品スイートで動作し、Jira、Confluence、および接続されたサービスにアクセスできるため、この脆弱性は特に危険です。攻撃は、ユーザーがRovoにJiraのチケットを整理するよう依頼し、白地に白文字で隠された悪意のある指示を含むPDF『バックログ整理ガイド』などのドキュメントをアップロードしたときに始まります。Rovoはリクエストを処理し、JiraとConfluenceを検索しますが、隠されたインジェクションによってリダイレクトされ、収集したデータをクエリパラメータとして含むURLを構築し、完全なチケットやドキュメントを攻撃者のサーバーに送信します。攻撃はアップロードされたファイルに限定されません。サポートチケット、ウェブコンテンツ、またはサードパーティのコネクタからのデータなどの外部データも、インジェクションのソースとして機能する可能性があります。組織レベルでRovoのウェブ検索を無効にしても、Rovoの「UrlReadTool」はアクティブなままであるため、攻撃を防ぐことはできません。また、ターゲットURLはプロンプトインジェクションから動的に構成されるため、データ流出をブロックする安全策はありません。PromptArmorはまた、2つ目のデータ流出経路を特定しました。RovoはAI出力からMarkdown画像をレンダリングし、安全でないMarkdown画像レンダリングは、間接的なプロンプトインジェクションによるデータ流出の既知のベクトルです。PromptArmorは2026年5月23日にAtlassianに脆弱性を報告しました。Atlassianは2日後にケース番号で認識しましたが、6月4日と7月29日のフォローアップには回答せず、8月5日の公開時点でRovoは脆弱なままでした。Anthropicは最近、ブラウザベースのプロンプトインジェクションに関する進展を説明しましたが、そのような進展は、追加のセキュリティ対策を備えた同社のエコシステムに特化しています。長く知られているセキュリティギャップは残り続ける可能性が高く、最近ではCopilotのWordドキュメントに対する同様の脆弱性も報告されています。