何が報告されたのか
RovoはAtlassianの製品群（Jira、Confluenceなど）をまたいで動く多目的のAIエージェントです。PromptArmorが公表したのは、そのRovo経由でAtlassianのテナント（契約単位の作業領域）内のデータが外部へ持ち出されうるという報告でした。
引っかかるのは成立条件の軽さです。報告はゼロクリック、つまり利用者が承認ボタンを押す工程を挟まずに成立するとしています。狙われるのはRovoのURL取得ツール。エージェントが動的に作ったURLを開くときの保護が無い、という指摘です。
Atlassian AI ‘Rovo’ is susceptible to zero-click data exfiltration via indirect prompt injection, bypassing organization-level web search controls. ／ Atlassian’s Rovo AI is a multi-purpose agent that operates across Atlassian’s product suite (Jira, Confluence, etc.). ／ Vulnerabilities have been identified that enable data exfiltration across an Atlassian tenant (Jira tickets, Confluence docs, etc.) via indirect prompt injection. ／ This attack executes without requiring any human-in-the-loop approval, and succeeds by exploiting Rovo’s URL retrieval tool. — 脆弱性の性質、対象となる製品範囲、流出しうるデータ、および承認工程を経ない点に関する記述より
なぜ設定で止められないのか
管理側が最初に思いつく対策は「Web検索を切る」でしょう。報告はここを正面から否定しています。
Web検索を無効化しても攻撃は成立する。Web検索の設定を切っても検索結果を開くためのツールは取り除かれないからです。入口を閉じたつもりで、外へ出る経路はそのまま残っている。
報告には組織全体の「Enable web search」をオフにした状態のスクリーンショットが添えられ、その条件下でも成立したとされています。
厄介なのは痕跡の残り方です。利用者が後からチャットを開き直すと、エージェントが提案したチケット更新は見えるのに、攻撃の形跡は残っていないとされています。気づく手がかりが利用者側にありません。
This attack succeeds even if an organization has disabled web search for Rovo. This is because the web search setting fails to remove the tool for opening the search results. ／ Rovo’s URL retrieval tool is insecure: there are no protections against opening a URL that has been dynamically created by the agent. ／ The organization-wide ‘Enable web search’ setting for Rovo is toggled off. ／ If the user returns to the chat later, they see the agent's suggested ticket updates, but no evidence of the attack. — Web 検索設定が防御にならない理由、URL 取得ツールの保護の欠如、検証時の設定状態、および事後に痕跡が残らない点に関する記述より
仕込みの入口は1つではない
報告が強調しているのは指示の混入経路が1つに限られないことです。
実証で使われたのは利用者がRovoへ資料を渡す形。ネット上で見つけた資料をアップロードする——珍しくもない使い方です。ただし報告はこの攻撃が混入元に依存しないと明記しています。他に挙がっているのはAtlassian内の外部由来データ（サポートチケットなど）、Web上のデータ（検索が有効な場合）、サードパーティのコネクター。
「怪しいファイルを開かない」では守り切れないということです。社外から入ってくるテキストがエージェントの目に触れる経路は、業務システムの中に無数にあります。
報告はMarkdown画像の描画という別経路にも触れています。AIの出力に含まれる画像記法をそのまま描画する挙動は、間接プロンプトインジェクションによるデータ流出の手口としてよく知られたものだという指摘です。
For general use cases, this is quite common: a user finds a file online and uploads it to Rovo. ／ This attack is not dependent on the injection source - other injection sources include, but are not limited to: external data in Atlassian (e.g., support tickets), web data (if search is enabled), third-party ‘connectors’, etc. ／ Atlassian Rovo also renders Markdown images from AI outputs. ／ Insecure Markdown image rendering is a well-known vector for data exfiltration via indirect prompt injection. — 実証で用いた経路の一般性、混入元に依存しない旨と他経路の例示、および Markdown 画像描画という別経路に関する記述より
届け出から公表までの経緯
対応の経緯も公表されています。PromptArmorが届け出たのは5月23日。Atlassianは受付番号を割り当て、謝意を示しています。
その後が問題です。PromptArmorによれば、2か月以上にわたる複数回の追跡連絡のあとも追加の連絡はなく、Rovoは脆弱なままでした。利用者へリスクを知らせるために公表する——それが公表理由として書かれています。
ただしこれはPromptArmor側の説明で、Atlassian側の見解は本記事の執筆時点で確認できていません。片方の当事者による経緯報告として読む必要があります。
PromptArmor disclosed the vulnerabilities covered in this article to Atlassian on May 23rd. ／ Atlassian assigned a case number and expressed thanks, but after multiple follow-ups by PromptArmor over more than two months, Atlassian has made no further communication, and Rovo remains vulnerable. ／ As such, we are publishing to inform users of the risks. — 届け出の日付、Atlassian 側の初期対応とその後の経過、および公表に至った理由に関する記述より
まとめ：利用側で何を見直すか
この件が突きつけているのはAIエージェントに与えた閲覧権限が、そのまま流出しうる範囲になることです。報告はエージェントがAtlassian内で見られるデータとコネクター経由で見られるデータが対象になりうるとしています。裏を返せば、見せていないものは出ていきません。
見直しはコネクターの棚卸しからでしょう。そのうえで、エージェントに読ませている範囲が業務上ほんとうに必要な範囲か。設定を一項目オフにして安心できる話ではない、というのが今回の報告の要点です。
同じ構図は英AISIが公表した評価中のインシデントにも表れていました。あちらでも最後に止めたのは人間です。権限を配らずに済ませる設計としては、エージェントに鍵を渡さないCloudflare OSの考え方が対照的な答えです。
The prompt injection can exfiltrate any data the agent can access in Atlassian, including any data the agent can access via ‘connectors’. — 流出しうるデータの範囲がエージェントのアクセス権と一致する点に関する記述より
