Atlassian Rovo のプロンプト・インジェクション：Jira／Confluence／SharePoint からの機密データ流出

Atlassian Rovo Prompt Injection Exfiltrates Jira and Confluence Data Without User Approval

2026/08/10 CyberSecurityNews — Atlassian Rovo におけるワンクリック・プロンプト・インジェクションの脆弱性 RovoBlast は、Jira／Confluence／SharePoint などの接続サービスから機密性の高いエンタープライズ・データを流出させることを、攻撃者に許すものである。この URL ベースの脆弱性が適切に開示された後、Atlassian はサーバー・サイドにおいて対応し、2026年7月8日に修正をデプロイしている。

Atlassian のエンタープライズ AI アシスタントである Rovo は、Jira／Confluence／Bitbucket およびサードパーティの SaaS プラットフォームにわたって、検索／要約／アクションを実行するよう設計されており、組織的なコンテキストへのアクセスにおいて、その価値は高いが、攻撃者が制御するコンテンツが信頼された指示として扱われる場合には、広範なアクセスが同じだけの深刻なセキュリティ・リスクを生み出し得る。

RovoBlast への攻撃で悪用されたのは、rovoChatPrompt という名の URL パラメータであり、特別に細工されたリンクをサインイン済みのユーザーが開くと、Rovo Chat にプロンプトを事前入力するためにこのパラメータが利用される。

Atlassian Rovo プロンプト・インジェクションの欠陥

Varonis によると、このアシスタントが処理したのは、被害者の認証済みセッション内で提供されたテキストであり、事実上、ユーザーと同等のコンテキストおよびアクセスを攻撃者に与えるものだった。この攻撃では、ジェイルブレイクや窃取されたクレデンシャル、実証済みの権限バイパスなどは不要であり、URL パラメータを介したプロンプト・インジェクション、いわゆる P2P インジェクションが悪用された。

被害者に求められるのは、Atlassian にサインインした状態で悪意のあるリンクをクリックすることだけであり、その後、Rovo は、すでにアクセスを許可されているデータ・ソースを検索し、結果を要約することができた。ただし、RovoBlast が攻撃者にテナント全体への無制限のアクセスを付与したわけではなく、データの露出はサインイン済みユーザーの既存の権限によって制限されていた。

機密性の高い Jira チケット／内部の Confluence ページ／API キー／プロジェクト計画／顧客記録／インシデント対応ドキュメンテーションなどには、多くの従業員がアクセスできるため、価値の高いビジネス情報が単一の侵害されたセッションから露出し得る。

さらに、Varonis のリサーチャーが報告したのは、Rovo の自律的な機能がこの影響を増大させたことである。Rovo の ResearchAgent は複数ステップのリサーチおよびブラウジングのタスクを実行できるため、プロンプト・インジェクションのシナリオでは、この種の機能が悪用されることで、ユーザー操作を必要とせずに AI アシスタントが内部コンテンツを取得／変換／伝達し、外部の送信先へ流出させることが可能となる。

この発見が浮き彫りにするのは、より広範なエンタープライズ AI セキュリティの課題である。AI アシスタントが組み合わせているのは、プライベート・データへのアクセス／信頼できないコンテンツへの露出／外部ツールや Web サイトと連携・操作する能力である。この組み合わせにより、通常のリンク／ドキュメント／コメント／接続アプリケーションなどが、プロンプト・インジェクションの侵入口へと変貌する。

セキュリティ・チームが必要とするのは、単純なチャット・インターフェイスではなく、特権的なアクセス・レイヤーとして AI アシスタントを扱うことである。組織に求められるのは、Rovo の権限のレビュー／未使用コネクタの切断に加えて、法務／人事／財務／セキュリティ・インシデント記録などの機密性の高いリポジトリへのアクセスを制限し、さらに、エージェント型のブラウジング／モニタリング／自動化の機能を、運用上必要でない場合には制限することである。

RovoBlast が示すのは、エンタープライズ AI のリスクがモデルの挙動だけの問題ではなく、信頼境界に関わる問題であるという点だ。AI アシスタントが機密データを読み取り、正規のユーザーの権限を利用し、外部サービスと対話し得る場合には、単一の誤分類された入力がサイレントなデータ露出につながり得る。

企業向け AI アシスタントである、Atlassian Rovo に発見された脆弱性 RovoBlast を解説する記事です。この問題は、悪意のリンクに含まれる URL パラメータを介して悪用されるプロンプト・インジェクションに起因します。ユーザーがリンクを開くと、AI が自身に与えられた権限で Jira や Confluence などの内部情報を検索し、外部へ送信させられるリスクがありました。影響として、社内の機密文書や鍵情報が意図せず流出する恐れが生じます。対応策は、開発元による修正の適用／AI に付与するアクセス権限の最小化／未使用コネクタの停止／AI 操作ログの定期的な点検です。