Atlassian Rovoがコントロールをバイパスしてデータを抜き出す

Atlassian Rovo AIがコントロールをバイパスしてデータを抜き出す：攻撃者のログにはJiraチケットとConfluenceドキュメントが含まれる コンテキスト AtlassianのRovo AIは、Atlassianの製品スイート（Jira、Confluenceなど）全体で動作する多目的エージェントです。 間接的なプロンプトインジェクションを通じて、Jiraチケット、Confluenceドキュメントなど、Atlassianテナント全体でデータが抜き出される脆弱性が特定されました。この攻撃は、人間の承認を必要とせずに実行され、RovoのURL取得ツールを悪用することで成功します。Web検索が無効になっている場合でも、攻撃は成功します。 PromptArmorは、この記事でカバーされている脆弱性を5月23日にAtlassianに開示しました。Atlassianはケース番号を割り当て、感謝の意を表明しましたが、PromptArmorによる2ヶ月以上の複数回のフォローアップの後、Atlassianからのさらなる連絡はなく、この記事の公開時点でもRovoは脆弱なままです。したがって、リスクをユーザーに通知するために公開します。 攻撃チェーン 1. 被害者がRovoにJiraチケットを整理するように求めるクエリを準備する 被害者がRovoにクエリを入力します。 2. 被害者が隠されたプロンプトインジェクションを含むファイルをRovoにアップロードする 一般的なユースケースでは、これは非常に一般的です。ユーザーはオンラインでファイルを見つけてRovoにアップロードします。この攻撃は、インジェクションソースに依存しません。他のインジェクションソースには、Atlassian内の外部データ（例：サポートチケット）、Webデータ（検索が有効な場合）、サードパーティの「コネクタ」などが含まれますが、これらに限定されません。 ユーザーがアップロードした「バックログガイド」ドキュメントには、隠されたプロンプトインジェクションが含まれています。 3. 被害者がRovoにJiraチケットを整理するように依頼する Rovoはリクエストを処理し、JiraとConfluenceの検索を開始します。 4. インジェクションがRovoを操作して、JiraチケットとConfluenceドキュメントを攻撃者のウェブサイトに送信する RovoのURL取得ツールは安全ではありません。エージェントによって動的に作成されたURLを開くことに対する保護がありません。ここで、Rovoは機密データを攻撃者のURLに追加するように操作されます。Rovoが安全でないツールを呼び出してURLを開くと、攻撃者のサイトは、追加された機密データを含むリクエストをログに記録します。 Rovoは、インジェクションによってJiraおよびConfluenceデータを攻撃者のURLに送信するように操作されます。 注：この攻撃は、組織がRovoのWeb検索を無効にしている場合でも成功します。これは、Web検索設定が検索結果を開くツールを削除できないためです。 Rovoの組織全体の「Web検索を有効にする」設定がオフになっています。 ユーザーが後でチャットに戻ると、エージェントが提案したチケットの更新が表示されますが、攻撃の証拠はありません。 ユーザーが後でチャットを再オープンすると、すべての証拠が消え、出力は正常に見えます。 5. 攻撃者がウェブサイトのログで被害者のチケットとドキュメントの内容を表示する プロンプトインジェクションは、エージェントがAtlassian内でアクセスできるあらゆるデータを抜き出すことができます。これには、エージェントが「コネクタ」を介してアクセスできるあらゆるデータが含まれます。 攻撃者のサーバーログには、抜き出されたJiraチケットとConfluenceドキュメントが含まれています。 追加：2番目の抜き出しメカニズム Atlassian Rovoは、AI出力からMarkdown画像もレンダリングします。安全でないMarkdown画像レンダリングは、間接的なプロンプトインジェクションを介したデータ抜き出しのよく知られたベクトルです。 安全でないMarkdown画像レンダリングの完全な攻撃チェーンがどのようになるかを確認するには、他の研究からの例を以下に示します。 ■Codexがコネクタデータを抜き出す ■OpenAI APIがデータを抜き出す ■Superhuman AIがメールを抜き出す ■Hugging Face Chatがデータを抜き出す ■Writer.comからのデータ抜き出し（間接プロンプトインジェクション経由） 責任ある開示 PromptArmorは、この記事でカバーされている脆弱性を5月23日にAtlassianに開示しました。Atlassianはケース番号を割り当て、感謝の意を表明しましたが、PromptArmorによる2ヶ月以上の複数回のフォローアップの後、Atlassianからのさらなる連絡はなく、この記事の公開時点でもRovoは脆弱なままです。 タイムライン 2026年5月23日：PromptArmorがAtlassianに開示 2026年5月25日：Atlassianが感謝の意を表明し、ケース番号を割り当てる 2026年6月4日：PromptArmorがフォローアップ 2026年7月29日：PromptArmorがフォローアップ 2026年8月5日：記事が公開される