セキュリティ企業のPromptArmorは、AtlassianのRovo AIアシスタントに脆弱性を公開した。この脆弱性により、PDFなどのアップロードファイルに埋め込まれた非表示命令が、人間の承認なしにデータ持ち出しを引き起こす可能性がある。

この攻撃は、間接的プロンプトインジェクションとして知られる手法を悪用する。かつてブラックハットSEOの実践者が検索ランキングを操作するためにウェブページに白地に白のテキストを隠していたように、攻撃者は透明なフォントカラーや1ピクセルのフォントサイズなどの技術を用いてPDF文書内に命令を隠蔽できる。人間の目には見えないが、AIエージェントはその非表示テキストを正当なコマンドとして処理する。AIエージェントは本来の機能を果たすために信頼されていない外部コンテンツを処理する必要があるため、この種の攻撃は特に防御が困難である。エージェントを有用にする同じ機能が攻撃対象領域を作り出している。

PromptArmorの公開情報によると、Jira、Confluence、その他のAtlassianワークスペースツール全体で機能するAIエージェント「Rovo」は、単一の悪意あるファイルを通じてデータパイプラインに変貌する可能性がある。典型的なシナリオでは、被害者がRovoにチケットの整理を依頼し、ドキュメントをアップロードする。そのドキュメントには、Rovoに対して機密情報を収集し、攻撃者が管理するURLに送信するよう指示する隠蔽されたプロンプトが仕込まれている。PromptArmorはこれをゼロクリック攻撃と説明している。つまり、承認プロンプトもユーザーへの警告も存在しない。

プロンプトインジェクションは、攻撃者がAIモデルが読み取っているコンテンツ内に命令を埋め込み、意図された操作者からモデルを実質的に乗っ取る際に発生する。間接型のバリアントでは、悪意ある命令はチャットインターフェース自体ではなく、ファイルやウェブページ内に存在する。Rovoはコンテンツを読み取り、それに基づいて行動するよう設計されているため、「機密チケットをここに送信」といった非表示命令はモデルによって正当なコマンドとして解釈される。Open Web Application Security Project（OWASP）は、プロンプトインジェクションを大規模言語モデルアプリケーション向けの初のTop 10リストで最大のリスクとして位置づけており、これはセキュリティ研究者がこの脆弱性クラスに割り当てている深刻さを反映している。

特筆すべきは、PromptArmorがこのエクスプロイトは「組織がRovoのウェブ検索を無効化していても成功する」と報告している点である。同社は、ウェブ検索設定を無効化しても検索結果URLを開くツールは削除されず、攻撃経路が開かれたままであると説明している。

この脆弱性はエンタープライズユーザーにとって重大な影響を伴う。Rovoはコンシューマー向けのツールではなく、企業の最も機密性の高いプロジェクトデータの上で自律的に行動する。GPT-5およびGeminiに基づくAIエージェントは、直接テストにおいてプロンプトインジェクションへの抵抗に79%以上の確率で失敗しており、Rovoの事例は間接型バリアントが商用展開されたエンタープライズ製品で成功していることを示している。より多くのベンダーが機密性の高いビジネスデータを扱うプロダクティビティスイートに自律型AIエージェントを組み込むにつれて、同様の露出ポイントがこのカテゴリー全体で出現する可能性が高い。

Atlassianは5月23日にPromptArmorの報告を受け取り、当初はこれを確認した。「Atlassianはケース番号を割り当て、感謝を表明しましたが、PromptArmorが2か月以上にわたり複数回のフォローアップを行った後も、Atlassianからの追加の連絡はなく、Rovoは依然として脆弱な状態にあります」と同セキュリティ企業は記載した。公開時点でAtlassianは公に対応していなかった。Rovoを機密データを含むワークフローで利用している組織は、修正プログラムが利用可能になるまで、ファイルアップロードのインタラクションを制限すべきか評価することが推奨される。

PromptArmorの完全な技術的公開情報は、公式ウェブサイトで確認できる。

この種の攻撃に関するより詳細な背景については、DecryptのAIプロンプトインジェクション解説を参照されたい。