Atlassian の AI エージェント Rovo に脆弱性、PDF 内の隠しテキストからデータ漏洩の恐れ
本文の状態
日本語全文を表示中
詳細モードで約4分の本文を読めます。
同じ出来事の情報源
この情報源を基点に整理
The Decoder
攻撃者は PDF に白文字で隠されたプロンプトを仕込み、Rovo がこの文書を処理する際にシステムを乗っ取り、Jira や Confluence の機密データを抽出させる。
Continue in AI NEW LAB
このニュースを、実務の判断につなげる
AI NEW LABで、試したことや先に確認したい条件を共有できます。まずはログインなしで読めます。
AI NEW LABで論点を見るAI深層分析を開く2026年8月10日 18:41
AI深層分析
キーポイント
PDF を介した間接的プロンプトインジェクション
攻撃者は PDF に白文字で隠されたプロンプトを仕込み、Rovo がこの文書を処理する際にシステムを乗っ取り、Jira や Confluence の機密データを抽出させる。
Web 検索無効化では防御できない
組織レベルで Web 検索機能を無効にしても、Rovo が持つ URL 取得ツール（UrlReadTool）は有効なままのため、攻撃者は動的に構築された URL を経由してデータを外部へ送信できる。
Markdown 画像レンダリングの脆弱性
AI の出力に含まれる Markdown 画像が不安全にレンダリングされる経路も存在し、これも間接的プロンプトインジェクションによるデータ漏洩のベクトルとなる。
広範な接続先がリスク要因
Rovo は Jira や Confluence だけでなく、サードパーティのコネクタを通じて接続された他のサービスにもアクセスできるため、攻撃の発生源はアップロードファイルに限らない。
Atlassian の脆弱性対応の遅れ
PromptArmor は2026年5月23日に脆弱性を報告したが、同年8月5日時点でも Rovo は依然として脆弱な状態にある。
重要な引用
The attack doesn't need user confirmation and leaves no visible traces in the chat
Turning off web search for Rovo at the org level doesn't help either.
Rovo renders Markdown images from AI outputs, and insecure Markdown image rendering is a known vector for data theft through indirect prompt injection.
As of the publication date of August 5, Rovo is still vulnerable.
編集コメントを表示
編集コメント
Atlassian の AI エージェント Rovo が直面した脆弱性は、AI ツールが持つ広範なアクセス権限と、入力データの信頼性に対する盲点が引き金となった典型的な事例である。企業は単なる機能制限ではなく、エージェントの動作ロジックそのものに対するセキュリティ評価を再構築する必要がある。
Source Article
元記事を日本語で読む
本文に関係しない購読案内、埋め込み通知、サイト内プロモーションは除いています。
Atlassian の AI エージェント「Rovo」には、間接プロンプトインジェクションの脆弱性が存在し、攻撃者が Jira チケットや Confluence ドキュメントから機密企業データを抽出できる可能性があります。
セキュリティ企業の PromptArmor は、この欠陥について詳細な分析を公開しました。同社によると、この攻撃はユーザーの確認を必要とせず、チャット上にも目に見える痕跡を残さないといいます。
Rovo は Atlassian の製品スイート全体で動作する AI エージェントであり、Jira や Confluence だけでなく、コネクタを通じて接続された他のサービスにもアクセスできます。PromptArmor の報告 によると、この広範なアクセス権限こそが、この脆弱性が極めて危険である理由です。
攻撃者が必要とするのは、仕掛けられた PDF 1 つだけ
攻撃は、ユーザーが Rovo に Jira チケットの整理を依頼し、PDF をアップロードするところから始まります。ドキュメント自体は無害に見えますが、その中には人間には絶対に気づかないような、白地に白い文字で書かれた 1 ポイントのテキストとして隠されたプロンプトインジェクションが含まれています。
Rovo がリクエストを処理する際、関連コンテンツを検索するために Jira や Confluence を参照しますが、ここで隠されたインジェクションにハッキングされます。エージェントは収集したデータをクエリパラメータに埋め込んだ URL を構築し、内蔵の URL 取得ツールを使ってそれをフェッチします。その結果、説明、割り当て、優先度、ラベルを含む完全な Jira チケットが攻撃者のサーバーへ転送されてしまいます。同様に、オンボーディングガイドやプラットフォームアーキテクチャの説明といった内部コンテンツを含む Confluence ドキュメントも外部に漏洩します。
この攻撃はアップロードされたファイルに限られません。サポートチケット、ウェブコンテンツ、サードパーティ製コネクタを通じて取得されるデータもインジェクションの源となり得ると、PromptArmor は指摘しています。
組織レベルで Rovo の Web 検索機能を無効にしても効果はありません。この設定では検索機能は削除されますが、Rovo が URL を開いて読み取るために使用する「UrlReadTool」までは削除されません。エージェントはプロンプトインジェクションからターゲット URL を動的に構築するため、機密データを外部サーバーへ送信するのを防ぐことはできません。
PromptArmor はさらに、別のデータ漏洩経路も発見しました。Rovo は AI の出力から Markdown 画像をレンダリングしますが、不十分な Markdown 画像のレンダリングは、間接的なプロンプトインジェクションを通じたデータ盗聴の既知のベクトルです。
プロンプトインジェクションは AI セキュリティにおける未解決の問題のまま
PromptArmor は、この脆弱性を 2026 年 5 月 23 日に Atlassian に報告したと発表しています。それから 2 日後、Atlassian はケース番号を付与し、お礼の連絡を送ってきました。しかし、6 月 4 日や 7 月 29 日に行われた追跡メッセージに対しては、同社からの回答はありませんでした。記事公開日の 8 月 5 日現在も、Rovo は依然として脆弱な状態にあります。PromptArmor はユーザーにリスクを周知させるため、今回の発見内容を公表しました。
Anthropic は最近、ブラウザベースのプロンプトインジェクションに対する進展について言及していましたが、その成果は Anthropic 独自の AI エコシステム（追加のセキュリティレイヤーが含まれる）に限られたものです。業界全体でこの広範な問題が解消されるまでには、まだ時間がかかるでしょう。直近では、Word ドキュメントに潜んで Microsoft Copilot を乗っ取る自己拡散型ワームを構築したセキュリティ研究者による、同様の脆弱性に関する報告も出ています。
過剰な期待を排した AI ニュース – 人間が厳選
THE DECODER に登録して、広告なしでの閲覧、週刊の AI ニュレター、年 6 回の独占「AI Radar」フロンティアレポート、アーカイブへの完全アクセス、そしてコメント欄の利用権を獲得しましょう。
原文を表示
Atlassian's AI agent Rovo is vulnerable to an indirect prompt injection that lets attackers extract sensitive corporate data from Jira tickets and Confluence documents.
Security firm PromptArmor documented the flaw in a detailed analysis. The attack doesn't need user confirmation and leaves no visible traces in the chat, the security firm says.
Rovo is an AI agent that works across Atlassian's entire product suite, with access to Jira, Confluence, and other services connected through connectors. According to PromptArmor, this broad access is exactly what makes the vulnerability so dangerous.
A rigged PDF is all an attacker needs
The attack starts when a user asks Rovo to organize their Jira tickets and uploads a PDF. The document looks harmless, but it hides a prompt injection in white-on-white one-point text that no human would ever spot.
When Rovo processes the request, it searches Jira and Confluence for relevant content and gets hijacked by the hidden injection. The agent builds a URL with the collected data stuffed into query parameters, then fetches it using its built-in URL retrieval tool. Complete Jira tickets, including descriptions, assignments, priorities, and labels, end up on the attacker's server. So do Confluence documents with internal content like onboarding guides or platform architecture descriptions.
The attack isn't limited to uploaded files. Support tickets, web content, or data pulled in through third-party connectors could also serve as injection sources, PromptArmor says.
Turning off web search for Rovo at the org level doesn't help either. That setting removes the search function but not the "UrlReadTool," which Rovo uses to open and read URLs. Since the agent dynamically builds the target URL from the prompt injection, nothing stops it from sending sensitive data to an external server.
PromptArmor also found a second exfiltration path. Rovo renders Markdown images from AI outputs, and insecure Markdown image rendering is a known vector for data theft through indirect prompt injection.
Prompt injections remain an unsolved problem for AI security
PromptArmor says it reported the vulnerabilities to Atlassian on May 23, 2026. Two days later, Atlassian assigned a case number and said thanks. Despite follow-up messages on June 4 and July 29, Atlassian didn't respond. As of the publication date of August 5, Rovo is still vulnerable. PromptArmor published its findings to make users aware of the risks.
Anthropic recently described progress on browser-based prompt injections, but those advances apply to Anthropic's own AI ecosystem, which includes extra security layers. The broader problem is likely to stick around across the industry for a while. Just recently, a similar vulnerability affecting Word documents in Copilot was described.
AI News Without the Hype – Curated by Humans
Subscribe to THE DECODER for ad-free reading, a weekly AI newsletter, our exclusive "AI Radar" frontier report six times a year, full archive access, and access to our comment section.
関連記事
今日のまとめ
AIデイリーブリーフで今日の重要ニュースをまとめ読み