セキュリティ企業 PromptArmor が、Atlassian のAIエージェント「Rovo」における重大なセキュリティ脆弱性を報告しました。攻撃者は、PDF に隠されたテキストを埋め込むだけで、Jira や Confluence に保管された企業の機密情報を盗み取ることができます。

脆弱性の詳細：間接プロンプトインジェクション

この脆弱性は「間接プロンプトインジェクション」と呼ばれるタイプです。攻撃は以下のプロセスで発生します：

  1. 攻撃者が、白いテキストを白い背景に隠すなどして、プロンプトインジェクション命令を含む PDF を作成
  2. ユーザーがファイルをアップロード
  3. Rovo がファイルを分析する際に、隠されたプロンプトを処理
  4. Rovo が指示に従い、Jira チケットや Confluence ドキュメントから機密データを収集
  5. 収集したデータが URL クエリパラメータに組み込まれ、外部サーバーへ送信される

重要な点として、ユーザーの確認や許可なく自動的に実行される ため、データ流出に気づくことが困難です。

影響範囲：企業データの広範な盗み取り

Rovo がアクセス可能な企業データには以下が含まれます：

  • Jira: チケットの説明、割り当て、優先度、ラベル
  • Confluence: オンボーディングガイド、アーキテクチャドキュメント、内部ガイドライン
  • サードパーティコネクタ: 連携先システムのデータ

特に技術系企業では、Confluence にシステムアーキテクチャやセキュリティ仕様が記載されていることが多く、流出時のリスクが極めて高いです。

報告と対応の遅れ

PromptArmor は 2026年5月23日 に脆弱性をAtlassianに報告しましたが、8月5日の公開時点でも問題は未解決のままです。およそ 2.5 ヶ月間の対応期間があったにもかかわらず、パッチがリリースされていません。

この期間の長さは、AI セキュリティの複雑さと、従来型のセキュリティ脅威への対応とは異なるアプローチが必要なことを示しています。

企業への影響と対策

Rovo を導入している企業は、以下の対策を検討する必要があります：

  • 外部 PDF アップロードの制限: 信頼できるソース以外からのファイル追加を厳密に管理
  • アクセス権限の見直し: Rovo が参照可能なデータソースを最小限に制限
  • 監視の強化: Rovo の動作ログを定期的に監査
  • ベンダーへの問い合わせ: Atlassian による正式なセキュリティパッチのリリース時期を確認

AI エージェントのセキュリティ課題

本脆弱性は、AI エージェント が抱える構造的な問題を浮き彫りにしています。LLM は「テキスト」を処理する際に、その出所や悪意を区別せず、指示を実行してしまいます。

エンタープライズ環境での AI エージェント導入は、今後、セキュリティ監査と細粒度のアクセス制御がさらに重要になると言えます。