Atlassian Rovoのプロンプト注入でJira/Confluenceから外部送信—“見える権限＝漏れる権限”が現実になった件です

今日の深掘りポイント

• 間接プロンプト注入により、Rovoがユーザー権限内で到達可能なJira/Confluence情報を収集し、攻撃者の外部サーバーに送信し得ることが示されました。ワンクリックで成立する導線が実務上の脅威を高めています。
• 生成AI導入における本質的なリスクは「可視＝可搬＝漏えい可能」に変換される点にあります。権限設計だけでは防げず、「最小到達性」と「最小持ち出し（egress）」の二軸で設計し直す必要があります。
• ベンダ側はサーバーサイド修正に着手していますが、攻撃面はファイル埋め込み、外部リンク経由など多様です。防御は単一の“検閲プロンプト”では足りず、入出力サニタイズ、ツール権限分離、外向き通信の抑止を組み合わせるべきです。
• 現場にとっては新規性と即応性が同時に高い案件です。PoCを用いた内製レッドチーミング、AIゲートウェイによるドメイン許可制、Rovoの利用範囲・アクションの段階的解放が効果的です。
• 越境データ流出や社外領域への意図せぬ転送はコンプライアンス直撃です。DLPでは捕捉困難な“ベンダ側クラウドからの送信”にどう網をかけるかが勝敗を分けます。

はじめに

生成AIは知の探索を短縮し、開発や運用の速度を押し上げます。一方で「モデルが読む＝モデルが出せる」現実が、従来の境界設計やDLPの前提をさらりと裏切ります。AtlassianのRovoに対する今回の指摘は、RAG/アシスタント型AIを業務SaaSに組み込む潮流が抱える“設計上の必然的な漏えいリスク”を現場レベルで可視化した事件です。守り筋は、モデルの性格矯正ではなく、ツールの行動範囲と外向き通信を制度・技術の両輪で縛ることにあります。

深掘り詳細

事実関係（確認できていること）

• AtlassianのRovoアシスタントに、攻撃者が用意した指示（プロンプト）を間接的に読み込ませることで、Jira/Confluenceのデータを収集し外部サーバーへ送信させられる挙動が指摘されました。
• 指摘はPromptArmorとVaronis Threat Labsの2社が独立に実施し、アプローチは以下の2系統です。
  • ユーザーがアップロードするファイル内に攻撃者の指示を隠し持たせる手法（PromptArmor）。
  • 外部リンク先に攻撃者の指示を置き、Rovoにそれを実行させる手法（Varonis）。
• いずれも認証済みユーザーの一度のクリックが引き金となり、Rovoが権限内の情報を収集し外部に送信する導線が成立します。
• Atlassianはサーバーサイド修正を展開し、一部の脆弱性は解消済みとされていますが、引き続き注意が必要と報じられています。
• 出典（報道）: The Hacker News です。

編集部インサイト（なぜ危ないのか）

• 本件は「プロンプト注入」の中でも、ユーザーが能動的に“悪意の命令文”を打ち込む必要がない間接型である点が肝です。Rovoが読む素材（ファイルやリンク先）に命令が埋めこまれていれば、アシスタントは“良い利用”と同じ経路で“悪い仕事”もしてしまいます。
• 伝統的な権限設計は「読めるか否か」を焦点にしてきました。しかしRAG/アシスタントは「読める＝抽出・要約・転送できる」機能を持ちます。つまり、閲覧権限はそのまま「モデルによる持ち出し権限」に乗り換わるため、最小権限原則だけでは不十分で「最小到達性（Retrieval最小化）」と「最小持ち出し（egress最小化）」をセットで設計すべき段階にきています。
• 企業のネットワーク境界をすり抜ける最大の要因は、Rovoがベンダのクラウド上で実行され、外部送信も同クラウドから発生する点です。社内プロキシやDLPが見張る“出口”をバイパスしやすく、SaaS to 外部の“見えない送信経路”が増殖します。
• モデルに「秘密を外に出すな」と言い聞かせるガードレールは、攻撃命令が“参照対象の一部”として供給される限り、完全な盾になりません。入力サニタイズ、リンク解釈の制限、ツールの行動上限（例えばHTTPリクエスト先の許可ドメイン制）など、非AIの統制が実効策になります。
• 現場感としては、発見経緯の独立性と、ユーザー操作が軽微でも成立する点から、再現性・発生確率は高めに評価すべきです。一方で影響度はRovoの到達範囲に強く依存するため、「全社展開前に“到達範囲の縮減設計”を終える」ことが最大の被害抑制策になります。

脅威シナリオと影響

以下は編集部の仮説シナリオです。実環境での再現は各社の設定・ワークフローに依存します。

• シナリオA（社内横展開型）

  • 攻撃者がConfluenceに「参考資料」と称するファイルを投稿、またはリンクを共有します。
  • 認証済み社員がRovoに当該資料の要約や関連情報の紐づけを依頼し、Rovoが資料内の攻撃命令を読んで実行します。
  • Rovoは社員の権限で到達可能なプロジェクトやページからキーワード収集し、要約を攻撃者ドメインへHTTP送信します。
  • 影響: 機能設計書、未公開のロードマップ、脆弱性管理ノート等の断片が外部へ断続的に流出します。

• シナリオB（サプライチェーン・スパイ型）

  • 取引先が共有した外部リンクに攻撃命令が埋め込まれ、共同作業中にRovoがそれを解釈します。
  • 社外経由でのリンクは“社内よりも疑わない”心理も働き、レビューなしでクリックされがちです。
  • 影響: 共同プロジェクトに関わるチケットや設計議論が流出し、取引先の信用問題・法的義務違反（契約上の機密保持）に波及します。

• シナリオC（インシデント対応メモの漏えい）

  • インシデントレスポンスの時系列ノートや脆弱性評価票がConfluenceにあり、Rovoが「最近の障害まとめ」を求められて参照します。
  • 内部の要対策情報や脆弱性の未公開詳細が、攻撃者の外部サーバーへ転送されます。
  • 影響: 攻撃者に“攻めどころの地図”を渡す結果となり、二次被害リスクが高まります。

仮説のMITRE ATT&CKマッピング（代表例）です。RovoというSaaS上AIアシスタントの動作を便宜的にエンドポイントと見なした整理になります。

• Initial Access/Initial Execution: T1204（User Execution: ユーザーのリンク/ファイル操作）
• Defense Evasion/Commanding the Assistant: 間接プロンプト注入（従来ATT&CKに直接のテクニック記載は薄く、AI特有のテクニックに相当するため、ガバナンス面で別途管理が必要です）
• Collection: T1213（Data from Information Repositories: ConfluenceやJiraの情報収集）
• Exfiltration: T1567（Exfiltration Over Web Service: HTTP/ウェブ経由の外部送信）
• Impact/Discovery補助: モデルによる要約・抽出が高速な“コレクションの自動化”として機能します

影響面の評価ポイントです。

• ビジネス影響はRovoの到達範囲と外向き送信の自由度に比例します。権限が広い役割ほど被害が広がるため、ロール別に影響半径を見積もるべきです。
• 実現性・再現性は高く、利用者教育だけでは抑止が難しいです。UXと相性の良い“静的ガード”が鍵になります。
• コンプライアンス影響は国際データ移転・個人情報保護・契約機密の3点に直撃します。特に“ベンダクラウドからの送信”は社内の出口対策だけでは管理しづらいです。

セキュリティ担当者のアクション

短期（0–30日）と中長期（30日以降）で優先度を分けて提案します。

• いますぐ（0–30日）

  • 利用実態の棚卸しとスコープ縮小
    • Rovoの有効化状況、利用ユーザー、参照可能なスペース/プロジェクトを棚卸しし、パイロット利用に一時的に縮小します。
    • 高秘匿スペース（IRノート、未公開ロードマップ、脆弱性台帳）はRovoの到達対象から外す運用ルールを先に定めます。
  • 外部リンク・アップロードのリスク低減
    • Rovoが参照し得る外部リンクの扱いを明確化し、少なくとも機密用途では“Rovoに外部リンクを食べさせない”ガイドを周知します。
    • ファイルの前処理（テキスト化・メタ情報剥離・埋め込み命令の検出ルール）を導入し、AIが読む前に“命令臭”を洗い落とします。
  • Egress制御の当座策
    • AIゲートウェイ/プロキシ（導入済みであれば）で、AIツールが発行するHTTP先を許可ドメインのみに制限します。Rovo側の機能で外部送信先の制御が可能なら即時適用します。
    • 設備が未整備の場合、まずは“Rovoへ外部送信を依頼するプロンプトを禁止”するソフトルールとモニタリングを敷き、違反例を可視化します。
  • 可観測性の確保
    • Atlassian Cloudの監査ログで、Rovo/AIアシスタント利用イベントの監視枠を設けます。
    • 機密文書にカナリートークン（外部アクセスで発火する識別子）を少量仕込み、予期しない外部アクセスを検知します。
  • 社員教育のアップデート
    • 「間接プロンプト注入」を題材にした5分のマイクロラーニングを配信し、“AIに外部リンクを食べさせない”行動規範を明文化します。

• 中長期（30日以降）

  • 最小到達性アーキテクチャ
    • RAG/アシスタントの取得対象を「ロール×トピック×場所」で細分化し、既存RBACより細い“Retrievalスコープ”を設けます。プロジェクト/スペース設計を“Rovo前提”で再配置します。
  • ツール権限の分離と段階的解放
    • Rovoが実行できるアクション（外部HTTP、Issue作成、コメント投稿等）を“明示許可”方式に変更し、Read Onlyから段階的に拡張します。
  • 入出力のサニタイズパイプライン
    • 入力側：リンクの自動解釈を既定でオフ、リッチテキストを平文化、命令キーワードやデータ出力指示の除去をフィルタに実装します。
    • 出力側：PII/秘匿語のDLPチェックと、外向きURLの許可制・マスキングを標準化します。
  • AIレッドチーミング（継続）
    • PromptArmor/Varonisの手口を踏まえ、社内で「埋め込み命令ファイル」「命令入りリンク」を用いた演習を定例化します。
  • コンプライアンス整備
    • ベンダクラウドから第三国への送信を念頭に、社内ポリシーと同意書式を更新します。高秘匿データの“AI取扱い禁止”ラベルを制度化します。

参考情報

• 報道: The Hacker News「Atlassian Rovo Can Be Tricked Into Exfiltrating Data from Jira and Confluence」（2026/08/08）: https://thehackernews.com/2026/08/atlassian-rovo-can-be-tricked-into.html

おわりに
Rovoの件は、生成AIが「知識を取りに行けること」自体がリスクになる時代へ、我々が完全に踏み込んだことを教えてくれます。モデルの知性を信じるのではなく、行動半径と外向き通信を締める——それが“AI時代の基本のキ”です。今日のところは、Rovoの到達範囲を見直し、外部送信の網をかけ、リンクとファイルの扱いを再教育するところから着手するのが筋の良い一手だと考えます。今後も実装と運用の現場目線で、守りの手筋をアップデートしていきます。