AtlassianのAIアシスタントRovoのデータ持ち出しの脆弱性
- タグ
- 国外
Varonisの2026年8月7日の報告によると、AtlassianのAIアシスタントRovoには、細工したリンクを1回クリックすると攻撃者の埋め込んだ指示が起動し、外部のパラメータを利用者のセッション内の信頼された入力として受け入れさせる脆弱性「RovoBlast」があった［1］。Atlassianはサーバー側で修正し、細工したリンクは指示を注入・自動実行しなくなったとBugcrowdの報告にある［2］。
脆弱性の内容
Atlassianは2025年1月14日のブログで、Rovoをクローズドベータを経て全顧客に一般提供したと書いた［10］。Varonisは、RovoがJira・Confluence・Bitbucketと、Slack・Microsoft 365・Googleなどの接続したSaaSにまたがるAIの層として動き、利用者の関与なしに多段の操作を行う自律エージェントの機能も持つと説明した［1］。
rovoChatPromptを使うリンク
Varonisは、RovoBlastを2026年1月にCopilotで見つけたRepromptと同様の、URLパラメータが利用者のAIのセッション内で実行される経路（Parameter-to-Prompt）だと説明した［1］。Rovoは「rovoChatPrompt」パラメータの内容をチャットの入力欄に直接入れ、この形のリンクを利用者がクリックすると、内容がRovo Chatに直接現れる［1］。URLの/o/<ID>/chatの組織IDは空でもよく、Atlassianが利用者の既定の組織IDへリダイレクトする［1］。
Varonisの試験では、外部のパラメータでセッションが始まったことを示す警告・確認・印は出なかった［1］。セッションは利用者のブラウザに保存済みのため、攻撃者がデータを得るのに要るのはクリックだけだとVaronisは書いた［1］。持ち出しの出口には、Webの多元的な調査と任意のWebサイトをまたぐ多段の閲覧を自律的に行うRovoのツール「ResearchAgent」を挙げた［1］。
Varonisが利用可能なデータソースを尋ねると、RovoはJira・Confluence・Bitbucket・Slack・Google Workspace・Microsoft 365・リレーショナルデータベース・アップロードされたファイル・Webページ・アーカイブを挙げた［1］。Rovo Connectorsで50を超えるプラットフォームを接続できるため、一覧はさらに大きいと説明した［1］。
Bugcrowdに公開された報告〔注1〕では、認証済みの利用者が細工したリンクを開くと、RovoはrovoChatPromptで事前に入れられた文を本物の利用者の問いとして扱い、実行した［2］。報告の手口では、プロンプトが被害者のアクセスできる内容を探して変数に入れ、その変数をパスに含む攻撃者のホストの「画像」を見るようRovoに指示していた［2］。Rovoが画像を取得すると、その内容が攻撃者のサーバーへ送られる［2］。指示は持ち出しを明示的に求めず、作業を装った間接的な言い回しでガードレールを避けた［2］。
報告は影響として、被害者の権限で動くRovoによる利用者の身元とプロフィール情報の開示、利用者がアクセスできるConfluenceページの列挙と漏えい、社内文書・APIキーなど組織の情報の持ち出しを挙げた［2］。同じ手法を、Jiraと、SharePoint・Outlookなどのサードパーティのコネクタで届くデータにも示した［2］。
| 項目 | 値 | 資料 |
|---|---|---|
| Atlassianによる要約の題 | Information Disclosure Vulnerability in Rovo | ［2］ |
| VRTの分類 | AI Application Security > Sensitive Information Disclosure | ［2］ |
| 状態 | Resolved（受理され修正された） | ［2］ |
文書に隠した指示による経路
PromptArmorは、Rovoが間接プロンプトインジェクションによるゼロクリック〔注2〕のデータ持ち出しを受けうるうえ、組織単位のWeb検索の制御も迂回されると書いた［3］。持ち出せるのはAtlassianのテナント全体のデータ（Jiraチケット・Confluence文書など）である［3］。攻撃は人の承認を要さず、RovoのURL取得ツールを悪用して成功する［3］。例では、被害者がJiraチケットの整理をRovoに頼み、隠したプロンプトインジェクションを含む「Backlog Guide」の文書をアップロードした［3］。
PromptArmorの記事では、攻撃は注入元に依存せず、サポートチケットなどAtlassian内の外部データ、検索が有効な場合のWebのデータ、サードパーティのコネクタも注入元になる［3］。RovoのURL取得ツールにはエージェントが動的に作ったURLを開くことへの保護が無く、Rovoは機微なデータを攻撃者のURLに付けて開かされる［3］。注入は、コネクタ経由を含め、エージェントがAtlassian内でアクセスできるあらゆるデータを持ち出しうるとした［3］。
PromptArmorは、利用者が後でチャットに戻っても、エージェントが提案したチケットの更新が見えるだけで、攻撃の痕跡は無いと書いた［3］。組織がRovoのWeb検索を無効にしても、その設定が検索結果を開くツールを外さないため攻撃は成功する［3］。RovoはAIの出力のMarkdown画像も描画し、これはデータ持ち出しの既知の経路だとした［3］。
GIGAZINEは、PromptArmorの検証のPDFは「Jira Backlog Organization Guide」という手順書に見え、行間0.1・文字サイズ1ポイント・白い背景に白い文字で命令が隠されていたと報じた［8］。
THE DECODERの8月10日の記事によると、Web検索の設定は検索機能を外すが、RovoがURLを開いて読む「UrlReadTool」は外さない［7］。攻撃者のサーバーには、説明・担当・優先度・ラベルを含むJiraチケットの全体と、オンボーディングの手引きや基盤の構成の説明などのConfluence文書が届いたと報じた［7］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2025年 | Bugcrowdの報告者 | rovoChatPromptの問題をBugcrowd経由でAtlassianに報告した | ［2］ |
| 2026年 | - | トリアージでP2とされ、6,000ドルの報奨金が支払われた | ［2］ |
| 2026年 | PromptArmor | 文書経由の経路をAtlassianに開示した | ［3］ |
| 2026年 | Atlassian | rovoChatPromptの問題の修正を展開した | ［2］ |
| 2026年 | - | BugcrowdのCrowdStreamに報告が公開された | ［2］ |
| 2026年 | PromptArmor | 文書経由の経路の報告を公開した | ［3］ |
| 2026年 | Varonis | RovoBlastの解説を公開した | ［1］ |
悪用の状況
The Hacker Newsは、どちらの開示も、手法が実在の組織に使われた証拠を報告していないと書いた［4］。どちらの開示にもCVE番号は無く、8月8日にNVDとCISAのKnown Exploited Vulnerabilitiesカタログを検索しても、どちらも見つからなかったと報じた［4］。
修正と回避策
Bugcrowdの報告では、報告者が修正の展開後に修正を確かめた［2］。Varonisは、Atlassianに責任ある開示で報告したRovoBlastが修正されてBugcrowdで公開され、その後DEF CON 34で発表したと書いた［1］。eSecurity Planetは、研究者Dolev TalerとMark VaitsmanがDEF CON 34で発表したと報じた［6］。
PromptArmorは、Atlassianがケース番号を割り当てて謝意を示した後、2か月以上にわたって複数回催促してもそれ以上の連絡は無かったと書いた［3］。Rovoは記事の公開の際にも脆弱なままだとした［3］。The Hacker Newsは、8月8日の段階でPromptArmorの報告に公開後の更新は無かったと報じた［4］。
Atlassianの文書によると、Rovoは既定で公開WebページへのアクセスとWeb検索ができ、組織管理者はいつでも切り替えられる［9］。設定のWeb accessの欄にはWeb accessとWeb searchの2つのトグルがあり、Web searchを有効にするには先にWeb accessを有効にしなければならない［9］。Rovoは接続したアプリへのアクセスに別の設定を使い、Web accessを無効にしても、接続したツールはブロックされないおそれがある［9］。The Hacker Newsは、Atlassianの文書ではRovoはStandard・Premium・Enterpriseプランのアプリで既定で有効で、組織の全員が使えると報じた［4］。
Varonisは、Rovoは完全にはアンインストールできず、組織がリスクを除こうとしてもRovoの存在と攻撃面を消せないおそれがあると書いた［1］。そのうえで、Rovoがアクセスできるシステムを限り、使わない連携を切り、法務・人事・財務・インシデント対応などの機微な領域を対象から外すよう推奨した［1］。使わない閲覧エージェント・多段の自動化などのAI機能の無効化と、アシスタントのログの確認、異常なエージェント実行の警告、仕込まれたプロンプトへの反応の定期的な試験も挙げた［1］。
未公表の事項
注
出典
調査・観測
- ［1］Varonis Systems, Inc.『RovoBlast: How One Click Triggered Atlassian's AI Assistant to Leak Data』（2026年8月7日公開）
- ［2］Bugcrowd Inc.『One-Click Data Exfiltration via rovoChatPrompt URL Parameter (Confluence / Rovo)』（2026年7月14日公開）
- ［3］PromptArmor, Inc.『Atlassian Rovo Exfiltrates Data, Bypassing Controls』（2026年8月5日公開）
報道機関
- ［4］The Hacker News『Atlassian Rovo Can Be Tricked Into Sending Jira and Confluence Data to Attackers』（2026年8月8日公開）
- ［5］Wired Business Media『Critical One-Click Vulnerability in Atlassian's Rovo AI Exposed Enterprise Data』（2026年8月8日公開、2026年8月9日更新）
- ［6］TechnologyAdvice『DEF CON 34: RovoBlast Exposes Atlassian Rovo Data Risks』（2026年8月10日公開）
- ［7］DEEP CONTENT GmbH『Hidden text in a PDF is enough to steal sensitive data through Atlassian's AI agent Rovo』（2026年8月10日公開）
- ［8］株式会社OSA『AtlassianのAI「Rovo」に文書を読ませるだけで社内データが外部送信される脆弱性が発見される』（2026年8月6日公開）
背景資料
- ［9］Atlassian Pty Ltd『Manage web access for Rovo』（2026年2月20日公開）
- ［10］Atlassian Pty Ltd『Helping every team succeed in the AI era』（2025年1月14日公開）
更新記録
- 2026年8月13日：公開した。