PDF에 숨겨진 텍스트만으로 Atlassian의 AI 에이전트 Rovo를 통해 민감한 데이터 탈취 가능

Atlassian의 AI 에이전트 Rovo가 간접 프롬프트 인젝션에 취약하여 공격자가 Jira 티켓과 Confluence 문서에서 민감한 기업 데이터를 탈취할 수 있는 것으로 드러났다. 보안 업체 PromptArmor는 이 결함을 문서화했으며, 사용자 확인이 필요 없고 채팅에 흔적을 남기지 않는다고 밝혔다. Rovo는 Atlassian의 전체 제품군에서 작동하며 Jira, Confluence 및 연결된 서비스에 접근할 수 있어 이 취약성은 특히 위험하다. 공격은 사용자가 Rovo에게 Jira 티켓을 정리하도록 요청하고, 흰 배경에 흰 글씨로 숨겨진 악성 지침이 포함된 PDF '백로그 정리 가이드'와 같은 문서를 업로드할 때 시작된다. Rovo는 요청을 처리하고 Jira와 Confluence를 검색하다가 숨겨진 인젝션에 의해 수집된 데이터를 쿼리 매개변수로 포함한 URL을 구성하도록 리디렉션되어 전체 티켓과 문서를 공격자의 서버로 전송한다. 공격은 업로드된 파일에만 국한되지 않으며, 지원 티켓, 웹 콘텐츠 또는 타사 커넥터의 데이터와 같은 외부 데이터도 인젝션 소스로 사용될 수 있다. 조직 수준에서 Rovo의 웹 검색을 비활성화해도 Rovo의 'UrlReadTool'이 활성 상태로 유지되므로 공격을 막을 수 없으며, 대상 URL이 프롬프트 인젝션에서 동적으로 구성되기 때문에 데이터 유출을 차단하는 안전장치가 없다. PromptArmor는 또한 두 번째 데이터 유출 경로를 확인했다. Rovo는 AI 출력에서 Markdown 이미지를 렌더링하며, 안전하지 않은 Markdown 이미지 렌더링은 간접 프롬프트 인젝션을 통한 데이터 유출의 알려진 경로이다. PromptArmor는 2026년 5월 23일에 Atlassian에 이러한 취약성을 보고했으며, Atlassian은 이틀 후 사례 번호로 확인했지만 6월 4일과 7월 29일의 후속 조치에 응답하지 않아 8월 5일 게시 시점에도 Rovo는 취약한 상태로 남아 있다. Anthropic은 최근 브라우저 기반 프롬프트 인젝션에 대한 진전을 설명했지만, 그러한 발전은 추가 보안 조치를 갖춘 자사 생태계에만 적용된다. 오랫동안 알려진 보안 격차는 지속될 가능성이 높으며, Copilot의 Word 문서에 대한 유사한 취약성도 최근에 설명된 바 있다.