Atlassianの企業向けAI「Rovo」にワンクリックで情報窃取が可能な脆弱性「RovoBlast」 Jira・Confluence等のデータが対象に|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月12日更新日時: 2026年08月12日

セキュリティ企業Varonisの脅威調査チーム「Varonis Threat Labs」は2026年8月7日、Atlassianが提供する企業向けAIアシスタント「Rovo」に、細工されたリンクを1回クリックさせるだけで、ユーザーのセッションに攻撃者の指示を注入できる脆弱性「RovoBlast」を発見したと公表しました。ジェイルブレイクや権限のバイパスを一切必要とせず、Rovoが外部から渡されたパラメータを信頼できる入力としてそのまま扱ってしまう点を悪用したもので、Jira・Confluence・SharePointなど、Rovoが接続している幅広いデータが窃取される可能性がありました。この脆弱性はAtlassian側で既に修正されています。

この記事のサマリー

Varonis Threat Labsは2026年8月7日、Atlassianの企業向けAIアシスタント「Rovo」における脆弱性「RovoBlast」を公表しました。DEF CON 34で発表されたのち、技術詳細が公開されています。
攻撃者は、RovoのチャットURLに含まれる「rovoChatPrompt」というパラメータに悪意ある指示を埋め込んだリンクを作成し、これをユーザーにクリックさせるだけで、ユーザーの認証済みセッション内に指示を注入できました。
ジェイルブレイクや権限バイパスの手法は一切不要で、警告や確認画面も表示されませんでした。
Rovoは、Jira・Confluence・Bitbucketに加え、Slack・Microsoft 365・Google Workspaceなど50以上の外部サービスと連携しており、被害者がアクセス可能な範囲のデータが、理論上すべて窃取の対象になり得ました。
Rovoに搭載された自律型のResearchAgent機能を悪用することで、データの取得から外部への送信までを、追加のユーザー操作なしに一連の流れとして自動実行できることも確認されています。
本脆弱性はAtlassianのバグバウンティプログラム（Bugcrowd）を通じて責任ある開示が行われ、サーバー側で修正済みです。

整理表

項目	内容
公表日	2026年8月7日（DEF CON 34での発表を経て公開）
発見・公表元	Varonis Threat Labs（研究者：Dolev Taler氏）
脆弱性名	RovoBlast
対象製品	Atlassian Rovo（企業向けAIアシスタント）
悪用されたパラメータ	rovoChatPrompt（RovoチャットURLのクエリパラメータ）
攻撃手法の分類	Parameter-to-Prompt（P2P）インジェクション
悪用条件	認証済みユーザーが細工されたリンクを1回クリックすること
必要な追加手法	ジェイルブレイク・権限バイパスは不要
影響範囲	Jira、Confluence、Bitbucket、Slack、Microsoft 365、Google Workspace等、Rovoが接続する50以上のサービス
悪用を助長した機能	Rovoの自律型エージェント機能「ResearchAgent」（複数ステップの自動ブラウジング・外部送信が可能）
対応状況	Atlassianがサーバー側で修正済み（Bugcrowd経由の責任ある開示）

何が起きたか

VaronisはRovoについて調査を進める中で、2026年1月にMicrosoft Copilotで発見した「Reprompt」と呼ばれる手法と同様の弱点を発見しました。RovoのチャットURLには「rovoChatPrompt」というパラメータがあり、このパラメータに任意の文字列を含めたリンクを開くと、その内容がRovoのチャット画面にあらかじめ入力された状態で表示される仕組みになっていました。攻撃者はこの挙動を悪用し、悪意ある指示を埋め込んだリンクを標的に送りつけ、クリックさせるだけで、被害者の認証済みセッション内に指示を注入できました。

Varonisの検証によると、Rovoにはこうした外部から渡された未信頼の入力に対するガードレールがほとんど存在していませんでした。URLの一部（組織IDの指定部分）を空欄にしても、Atlassian側がユーザー本来の組織IDへ自動的にリクエストを振り分けてしまう挙動も確認されており、セッションが外部のパラメータによって「仕込まれた」ものであることを示す警告や確認は一切表示されませんでした。

どこまでのデータにアクセスできたのか

Varonisの研究者が、注入した指示を通じてRovoに「アクセス可能なデータソースを一覧化するよう」求めたところ、Rovoは何のジェイルブレイクも要さずに、Jira、Confluence、Bitbucket、Slack、Google Workspace、Microsoft 365、リレーショナルデータベース、アップロード済みファイル、Webページ、さらにはアーカイブファイルまで、自らがアクセスできる主要な情報源を一覧で回答しました。Atlassianの公式コネクタは50以上のプラットフォームに対応しており、実際の対象範囲はこれよりもさらに広い可能性があります。

自律型エージェントが生んだ「取得から持ち出しまでの自動化」

Varonisがとりわけ深刻だとしているのが、Rovoに搭載されている自律型エージェント機能「ResearchAgent」の存在です。この機能は本来、複数のWebサイトを横断してオープンな調査を行うためのものですが、複数ステップにわたる自動ブラウジング・ナビゲーション機能を備えているため、攻撃者が注入した指示に従って、社内の機密情報を取得し、それを外部の到達可能な場所へ転送するという一連の流れを、ユーザーの追加操作なしに自動実行できてしまう構造になっていました。Varonisはこれを「誤用された場合に持ち出しを加速させる、組み込みの自動化」と表現しています。複数のステップを1つのエージェントの実行内に収めることで、ユーザーの目に触れる操作の回数も減り、通常の調査活動に見える形で持ち出しが行われる点も、検知を難しくする要因とされています。

「Enter, Evade, Escape」という共通パターン

Varonisは、RovoBlastの分析を通じて、Atlassian Rovoに限らない、複数のAIプラットフォームに共通する攻撃パターンを見出したとしています。これは、外部のコンテンツが指示として解釈される境界を越える「Enter（侵入）」、検知や制御の仕組みを回避する「Evade（回避）」、そして取得したデータを外部へ送り出す経路を見つける「Escape（脱出）」という3段階のフレームワークです。同社は、AIエージェントの安全性を検証する際のリスク評価の観点として、この3段階それぞれに対策が及んでいるかを確認する重要性を指摘しています。

情報システム部門が確認すべき対策ポイント

Atlassian Rovoを利用している場合、接続を許可しているシステムの範囲を必要最小限に絞り、使用していない外部連携を切断してください。
法務・人事・財務・インシデント対応など、特に機密性の高い領域については、Rovoの参照範囲から明確に除外することを検討してください。
ブラウジング機能や複数ステップの自動化機能など、実際に業務で使用していないAIエージェント機能は無効化してください。
Rovoのアシスタント活動ログを定期的に確認し、通常と異なるエージェントの実行パターンがないか監視する体制を整えてください。
Rovoは完全にはアンインストールできない仕組みになっているため、機能を無効化する運用だけでなく、入力の検証や監視といった多層的な対策をあわせて講じる必要があります。
自社で導入している他のAIアシスタント・AIエージェントについても、URLパラメータやリンクを介して外部の指示がセッションに注入され得る設計になっていないか、あらためて点検することをおすすめします。URLの断片（フラグメント）を悪用した同種の手口については、AIブラウザの盲点を突くプロンプトインジェクション「HashJack」で解説しています。