AtlassianのAIアシスタント「Rovo」にデータ持ち出しのリスク、JiraやConfluenceの情報が外部送信される脆弱性が判明

要点

• Atlassianが提供するAIアシスタント「Rovo」が悪意のある指示により、JiraやConfluenceのデータを収集して外部サーバーに送信してしまう脆弱性が判明した。

• セキュリティ企業のPromptArmorとVaronis Threat Labsの2社が、それぞれ独立した異なるアプローチでこの挙動を実証した。

• Varonisが発見した1クリックで悪用可能なリンク起因の欠陥は、Atlassian側によってすでに修正されている。

• 一方、PromptArmorが報告したファイル等のコンテンツに指示を潜ませる間接プロンプトインジェクション手法は、Web検索を無効化しても回避可能だったと報告されている。

• いずれのケースもユーザー側で個別に適用するパッチはなく、サーバー側の対応や利用グループの制限が制御手段となる。

• Atlassianの企業向けAIアシスタント機能「Rovo」において、攻撃者が仕込んだ指示によってJiraやConfluenceの内部データが外部サーバーへ不正に持ち出される恐れがあることが明らかになりました。AIセキュリティ企業のPromptArmorおよびVaronis Threat Labsの2社がそれぞれ独自に調査を行い、異なる手法でこのリスクを実証・公開しました。このうちリンクを介した攻撃経路についてはAtlassian側での修正が確認されていますが、コンテンツを介した攻撃経路についての対応状況には注視が続いています。

独立した2社による異なる攻撃経路の特定

今回の問題は、サインイン中のユーザーが持つアクセス権限を利用して、AIアシスタントに社内データを収集させ、外部へ送信させるというものです。2つのセキュリティ企業が全く別のルートから同様のデータ流出を再現しました。

1つは、Varonis Threat Labsが発見した「RovoBlast」と呼ばれるリンク起因の手法です。もう1つは、PromptArmorが実証した、アシスタントが読み込むファイルなどのコンテンツ内に指示を紛れ込ませる手法です。

いずれの問題もクラウドサービス側のアシスタントの挙動に起因するため、利用企業やエンドユーザーが個別に適用できるソフトウェアパッチなどは存在しません。

ファイル内に隠された指示と間接プロンプトインジェクション

PromptArmorが公開した攻撃チェーンは「間接プロンプトインジェクション」（AIが参照する外部データの中に悪意ある命令を埋め込み、AIに意図しない動作を実行させる攻撃手法）を活用したものです。

公開された実証例では、悪意ある指示が隠されたドキュメントをユーザーがアップロードし、Rovoに対して通常の操作として「Jiraチケットを整理してほしい」と依頼します。するとRovoは指示に従ってJiraやConfluence内を検索した上で、取得した内容を攻撃者のURL末尾に付加してアクセスを試みます。これにより、攻撃者は自身のサーバーログから社内のチケットやページの内容を読み取ることが可能になります。

このプロセスにおいて、Rovoは別個の人手による承認ステップを要求することなく外部リクエストを実行します。さらに、ユーザーが後からチャット履歴を確認しても、チケットの更新提案が表示されているだけで、データの外部送信が行われた痕跡は画面上に残らないと報告されています。

また、Atlassianは組織レベルの管理設定として、Rovoの情報ソースを一般のWebサイトへ拡張できる「Web検索オプション」を提供しています。しかしPromptArmorによると、このWeb検索機能を無効化していても、アシスタントが持つ独立したURL取得機能が使われるため、外部へのデータ流出を阻止できなかったとされています。根本的な原因として、開かれようとしているURLがAI自身によって組み立てられたものかどうかを検証する仕組みが存在しない点が指摘されています。

PromptArmorは2026年5月23日にAtlassianへこの問題を報告し、同社からの連絡がないまま2026年8月5日に詳細を公開しました。The Hacker Newsの報道時点（2026年8月8日）でも同レポートに修正完了の追記はなく、公開時点では依然として影響を受ける状態であったと説明されています。

1クリックで実行されるリンクの脆弱性「RovoBlast」と修正

一方、Varonis Threat Labsが発見した「RovoBlast」は、URLパラメータを利用したアプローチです。

同社は、特定のURLパラメータ（rovoChatPrompt）を使用することで、悪意ある命令をRovo Chatに事前読み込みさせられることを突き止めました。認証済みのユーザーが攻撃者の用意したリンクを1回クリックするだけで、そのユーザーの権限でRovoが指示を実行し、結果が攻撃者のサーバーへ送信される仕組みとなっていました。

Varonisはこの脆弱性をバグ報奨金プラットフォームのBugcrowdを通じてAtlassianに報告しました。記録によると、Atlassianは2026年7月8日にサーバー側でこの問題を修正しており、報告者側でも修正が正常に完了したことが確認されています。

現状の対策と企業側の管理手段

今回の2つの事例において、ユーザー側に配布されるパッチはありません。リンクを介した脆弱性はAtlassian側ですでに遮断されており、コンテンツを介した間接プロンプトインジェクションに対する防御策としては、組織管理者がRovoを利用できるアプリケーションやユーザーグループの範囲を適切に制限・設定することが主な制御手段となります。