Atlassianが「Rovo」を使ってデータを流出させ、制御を回避する

2026年8月6日原文(promptarmor.com)

概要

Atlassian Rovo AIにおける 重大なデータ流出脆弱性 の解説
間接プロンプトインジェクション によりJiraやConfluence情報が攻撃者に送信
組織でWeb検索を無効化しても バイパス可能
PromptArmorが 脆弱性を開示 したが、Atlassianの対応遅延
利用者への リスク喚起 と追加の流出経路も紹介

Atlassian Rovo AIにおけるデータ流出脆弱性

Rovo AI はJiraやConfluenceなどAtlassian製品群で動作する多目的AIエージェント
間接プロンプトインジェクション により、JiraチケットやConfluenceドキュメント等のデータが流出
攻撃は 人間の承認不要 で実行される特徴
RovoのURL取得ツール の脆弱性を悪用
Web検索無効でも 検索結果を開くツール が残存し、攻撃が成立
PromptArmorが 2026年5月23日に脆弱性を開示、Atlassianはケース番号を発行したが、その後2ヶ月以上進展なし
PromptArmorは リスク周知のため公開 を決定

攻撃チェーンの詳細

被害者が Jiraチケット整理依頼 をRovoに送信
被害者が 隠れたプロンプトインジェクション を含むファイルをアップロード
- 例：インターネット上で入手したファイルや外部データ、サードパーティ連携など多様な経路
Backlog Guide 等の文書にプロンプトインジェクションが仕込まれる
Rovoが Jiraチケット整理 を実行
インジェクションにより、 JiraチケットやConfluenceドキュメント が攻撃者サイトへ送信
Rovoの URL取得ツール が攻撃者の動的URLを開き、機密データをURLパラメータ等で送信
Web検索無効設定でも 攻撃成立 （ツールが残るため）
被害者が後日チャットを再確認しても 攻撃痕跡なし
攻撃者は サーバーログでJiraやConfluenceの内容 を確認可能

追加のデータ流出経路

Markdown画像レンダリング も流出経路
- RovoはAI出力からMarkdown画像をレンダリング
- インジェクション経由で画像URLに機密情報を埋め込んで外部送信可能
- 他の研究でも 画像経由の間接流出 が確認されている

責任ある開示とタイムライン

2026年5月23日 PromptArmorがAtlassianに脆弱性を開示
2026年5月25日 Atlassianが感謝を表明しケース番号を発行
2026年6月4日、7月29日 PromptArmorがフォローアップ
2026年8月5日 記事公開
記事公開時点でも 脆弱性は未修正

PromptArmor Threat Intelligenceの提案

自組織の AIベンダー利用状況の可視化 とリスク管理
サードパーティAI、プラグイン、コネクタ、モデル等の 継続的監視
脆弱性やリスクの早期検知 によるインシデント未然防止
詳細・導入案内は PromptArmor公式情報 参照

Hackerたちの意見

ほとんどのAIの脆弱性についてのレポートは「ただそれをやるように頼めばいい」って結局そういうことになるよね。でも、もっとカッコいい言葉で「間接プロンプトインジェクション」とか使って。

「Rovo」がどれだけひどいか、全然忘れられない。マイクロソフトが「Copilot」をあちこちに入れるよりも、なんかもっと攻撃的で無駄だよ。Cowork + MCPみたいなものを使うよりも明らかに劣ってるし、JIRAやConfluentのすべてのページに注入されてるから、ゴミが読み込まれる間にウェブブラウジングがすごく遅くなった。

└

新しいエージェント用のtwg CLIにあるマークダウンエージェントの指示見た？平均70kトークンで、複数あるんだよね… Rovoは今まで使った中で最悪のAIだわ。もうやめて、モデルの選択肢をくれって提案したい。お金を節約して、得意じゃないことはやらない方がいいよ。

└

RovoにはAIのミスフィーチャーの最高の例がある。今チェックしたけど、Cloud Confluenceにまだあるよ。ページの編集モードでテキストの範囲を選択すると、メニューがポップアップして、「Ask Rovo」がドロップダウンに表示される。いくつか良いオプションがあるけど… フォーマット改善、翻訳オプション、短くする… でも「長くする」ってのもある。そう、テキストを入力して、AIの力を使って膨らませる機能があるんだ。もちろん、このプロセスを同じテキストで何度も繰り返せるから、自分だけのモデル崩壊の実演ができるよ。

└

「Rovo」がどれだけひどいか、全然信じられない。Microsoftが「Copilot」を至る所に入れてるよりも、なんかもっと攻撃的で役に立たないよ。見方を変えた方がいいよ。アイコンの少し左にある検索ツールのジョークより、どれだけマシか考えてみて。

└

もう嫌だ、最近JiraにさらにAIのクソみたいな機能が追加されたんだ。役に立たない「サブタスクを提案する」ボタンや「問題を改善する」ボタン、説明文を書く提案まで。全く役に立たない nonsense だよ、全部オフにできたらいいのに。バグトラッカーにはそのリクエスト（個別ユーザーとしてオフにする）があって、票もたくさん入ってるけど、今のところは管理者としてグローバルにしか無効にできないんだ。

プロンプトアーマーは、どのエージェントツールについても同じブログ記事を書いてる気がする。だって、みんな以前の指示を無視するプロンプトインジェクションに悩まされてるから。 https://www.promptarmor.com/resources/claude-cowork-exfiltra... https://www.promptarmor.com/resources/google-antigravity-exf... https://promptarmor.substack.com/p/data-exfiltration-from-sl... https://www.promptarmor.com/resources/gpt-for-google-sheets-... https://www.promptarmor.com/resources/notion-ai-unpatched-da... https://www.promptarmor.com/resources/ramps-sheets-ai-exfilt... https://www.promptarmor.com/resources/superhuman-ai-exfiltra...

└

どうしてできないんだろう？もしどこかの研究所が本当に安全なガードレールを作る方法や、プロンプトインジェクションを完全に避ける方法を持ってたら、絶対に大々的に宣伝してると思う。でも、言語モデルの基本的なメカニズムは、入力が安全なユーザーからのものであることを常に確認できない限り、脆弱だと思う。

└

以前の指示を無視するプロンプトインジェクション。実際に組み込まれたプロンプトのタイプ、つまりシステムプロンプト、ユーザープロンプト、データプロンプトを持つLLMを作ろうとした人がいるのかな。

└

みんながプロンプトが保証じゃないって気づくまで、これらの投稿はまだ役に立つよね。

被害者はRovoに隠れたプロンプトインジェクションを含むファイルをアップロードするそう、この攻撃はすべての現代のエージェントシステムで可能なんだ。* プライベートデータへのアクセス * 信頼できないコンテンツへの露出 * データを盗むために使われる可能性のある外部とのコミュニケーション能力 (https://simonw.substack.com/p/the-lethal-trifecta-for-ai-age...) そして、これを完全にブロックするとエージェントの有用性が減るから、トレードオフになるんだよね。

└

もう1年以上経って、トライフェクタは変わらないね。「プロンプトインジェクション」って言葉は2022年5月から存在してる [0]。「未来が解決する」なんて言っても、何も解決してないよ。誰もセキュリティを気にしない限り、こういう侵害は続くし、みんなLLMの脳虫に感染してる。

Hacker Newsで議論の続きを見る

ハクソク