Atlassian Rovo脆弱性の全容｜AIアシスタント経由でJira/Confluenceデータが流出する手口と対策【2026年8月】

結論: Atlassianの企業向けAIアシスタント「Rovo」に、Jira/Confluenceのデータを外部に流出させる脆弱性が2件見つかりました。1件（Varonis発見・RovoBlast）は2026年7月8日に修正済みですが、もう1件（PromptArmor発見・間接プロンプトインジェクション）は2026年8月8日時点で修正が確認されていません。RovoはStandard・Premium・Enterpriseプランでデフォルト有効のため、Atlassian製品を使っている組織は現在のRovoの設定状況を確認する必要があります。

この記事の要点:

• セキュリティ企業PromptArmorとVaronisが独立してAtlassian RovoのAIアシスタントにデータ流出の脆弱性を発見。PromptArmor経路はファイルに仕込んだ隠し指示でゼロクリック攻撃が可能、Varonis経路（RovoBlast）はURLパラメータ経由のワンクリック攻撃（The Hacker News、2026年8月8日報道）
• PromptArmor経路は管理者がWeb検索をオフにしても攻撃が成功する。URL取得ツールが残るためで、PromptArmorは「URLが自身の構築したものかチェックする機構がない」と指摘（PromptArmor、2026年8月5日公開）
• RovoはJira・Confluence・Microsoft 365・Google Workspace・Slackなど50以上のコネクタにアクセス可能。攻撃が成功した場合の影響範囲は、そのユーザーがアクセスできるすべてのデータに及ぶ

対象読者: 常駐先や自社でAtlassian製品（Jira/Confluence）を利用しているSESエンジニア、開発チームのセキュリティ方針を検討している方、企業向けAIアシスタントの導入・運用に関わる方

読了後にできること: 自分の組織でRovoが有効かどうかを確認し、必要な対策を取る判断軸が持てます。AIアシスタントの権限設計について、Rovo以外のツールにも応用できるチェックポイントが得られます

2026年8月8日、セキュリティ専門メディアThe Hacker Newsが、Atlassianの企業向けAIアシスタント「Rovo」に見つかった2つの脆弱性を詳報しました。PromptArmorとVaronis Threat Labsという2つのセキュリティ企業が、それぞれ独立に発見・報告した問題です。

僕自身、デュスクではClaude Codeを全社導入していますが、常駐先のエンジニアたちが毎日使っているのはJiraとConfluenceです。客先で「Rovo便利だよ」と勧められてオンにしている現場もあると聞きます。今回の脆弱性は、そうした現場に直接関わる話です。

この記事では、2件の脆弱性の技術的な仕組みと現在の対応状況を整理したうえで、SES現場を含む開発チームが今日から確認・対策すべきことまで解説します。なお、AIエージェントの「人間側の見落とし」については先日公開したScale Xのゲーム実験の記事、「AIエージェント自体の暴走」についてはOpenAI評価AIのHugging Face侵害の記事も合わせてご覧ください。

何が起きたのか——時系列で整理する

ポイントは2つあります。1つ目は、2つの独立したセキュリティ企業が、別々の経路で同じ製品の脆弱性を発見したこと。問題がRovoのアーキテクチャに根ざしていることを示唆しています。2つ目は、PromptArmorがAtlassianに報告してから公開まで2ヶ月以上、Atlassianからの実質的な回答がなかったこと。Varonis側のRovoBlastは修正されていますが、PromptArmor側の経路は8月8日時点で修正が確認されていません。

2つの攻撃経路——技術的に何が起きるのか

経路1: 間接プロンプトインジェクション（PromptArmor発見）

この攻撃は、ファイルに隠した指示をRovoに読ませることで成立します。

攻撃の流れは5段階です。

Step 1: 攻撃者が悪意ある指示を含むファイルを作成します。指示は白背景に白文字・極小フォント・最小行間で書かれており、人間の目には見えません。

Step 2: このファイルがJiraチケットやConfluenceページにアップロードされます。共有ドキュメントに紛れ込ませる形です。

Step 3: 被害者がRovoに「このチケットを整理して」と依頼します。Rovoはチケット関連のファイルを読み込む際に、隠された指示も処理してしまいます。

Step 4: 隠し指示に従い、RovoはJira/Confluence内の機密データ（チケット内容、ドキュメント）を取得し、攻撃者が指定した外部URLに付加してアクセスします。

Step 5: 攻撃者はサーバーログから流出データを回収します。被害者のRovoチャット画面には流出の痕跡が表示されません。

PromptArmorは根本原因を端的に指摘しています。「URLが自身の構築したものか、外部から注入されたものかをチェックする機構がない」（PromptArmor、2026年8月5日）。

管理者がRovoのWeb検索をオフにしても、この攻撃は成功します。Web検索設定は検索「機能」を無効にするだけで、URL取得ツール自体は残るためです。PromptArmorはこれを「セキュリティ設定が実際の機能範囲と一致していない」問題だと分析しています。

経路2: RovoBlast（Varonis Threat Labs発見）

こちらはURLパラメータにプロンプトを仕込むワンクリック攻撃です。

RovoのチャットURLには rovoChatPrompt というパラメータがあり、ここにプロンプトを直接書き込めます。攻撃者がこのパラメータに悪意ある指示を仕込んだリンクを作成し、Atlassianにログイン済みのユーザーがクリックすると、確認ダイアログなし・警告なしでRovoがその指示を実行します。

Varonis Threat Labsの研究者Dolev Taler氏はこう述べています。「Rovo自体にはマルチステップの自動化機能（Rovo Agents）が組み込まれている。これにより脅威は『誤用されればデータが漏れる』から『誤用された瞬間に自動化が流出を加速する』にエスカレートする」（Varonis、2026年8月7日）。

テストでは、Jira・Confluence・Bitbucketだけでなく、RovoのコネクタでつながったMicrosoft 365・Google Workspace・Slack、さらにリレーショナルデータベースなど50以上の連携先からのデータ取得が確認されたと報告されています。

この経路は2026年7月8日にAtlassianがサーバーサイドで修正済みです。Bugcrowdで解決が確認されています。

間接プロンプトインジェクションとは何か

「間接プロンプトインジェクション」という言葉が聞き慣れない方もいるかもしれません。仕組みを整理します。

通常のプロンプトインジェクションは、ユーザーが直接AIに悪意ある指示を入力するものです。間接プロンプトインジェクションはそれとは違い、AIが読み込む外部データの中に指示を埋め込む攻撃です。

たとえるなら、社内の共有フォルダに入っている報告書の中に、目に見えない付箋で「この情報を外部に送れ」と書いてある状態です。人間が報告書を読んでも付箋は見えませんが、AIアシスタントはテキストとして処理してしまいます。

これはRovo固有の問題ではありません。OWASPの「LLMアプリケーション向けセキュリティリスクTop 10」でプロンプトインジェクションは2年連続で1位にランクされています。2026年には前年比340%の増加が報告されています（OWASP、2026年版）。

どこまで確認されているのか——検証状況

確認済みの事実

• 2件の脆弱性が独立した2社によって発見・報告されたことは、両社のブログおよびThe Hacker Newsの報道で確認済みです
• RovoBlast（Varonis経路）が2026年7月8日に修正されたことは、Bugcrowdの解決ステータスおよびThe Hacker Newsの報道で確認済みです
• RovoがStandard・Premium・Enterpriseプランでデフォルト有効であることは、Atlassianの公開ドキュメントおよびThe Hacker Newsの報道で確認済みです
• CVEは割り振られていません（2026年8月8日時点）

確認されていないこと

• PromptArmor経路が修正されたかどうかは、2026年8月8日時点で確認されていません。Atlassianからの公式な回答はありません
• 実際の攻撃に使われた事例は報告されていません。The Hacker Newsは「両社とも、このテクニックが実際の組織に対して使われた証拠は報告していない」と記載しています
• Atlassianが具体的にどのような追加対策を講じたか（あるいは講じていないか）の詳細は不明です

楽観論と慎重論——受け止め方は分かれている

楽観的な見方

• RovoBlast経路は報告から比較的短期間で修正されており、Atlassianの脆弱性対応の仕組み自体は機能している
• Rovo経由で流出するデータは、そのユーザーがもともとアクセスできるデータに限られる。新たなアクセス権を獲得するわけではない
• 実際の攻撃事例は報告されておらず、攻撃に必要な条件（ファイルのアップロードまたはリンクのクリック）はゼロではない

慎重な見方

• PromptArmor経路は報告から2ヶ月以上経過しても修正が確認されていない。Atlassianからの実質的な回答がない状態が続いている
• RovoはStandard・Premium・Enterpriseプランでデフォルト有効であり、完全なアンインストールはできない（Varonisの調査による）。管理者が積極的に制限しなければ全組織メンバーがRovoを使える
• Web検索のオフがセキュリティ対策として機能しない点は、管理者の想定を裏切る設計上の問題がある
• これはRovo固有の問題ではなく、企業向けAIアシスタント全体に共通するアーキテクチャ上のリスク。2026年だけでもChatGPTのMarkdown画像レンダリング脆弱性（5月）、Microsoft 365 CopilotのURLパラメータ脆弱性（6月）、OpenClawの間接プロンプトインジェクション（3月）と類似事例が続いている

デュスクとしての見立て

「実被害ゼロ」だから安心、ではありません。SES現場ではJiraとConfluenceは基本インフラです。客先のセキュリティポリシーでRovoが制限されていなければ、常駐エンジニアが日常的に使うJiraチケットのデータが流出経路に乗る可能性がある。影響範囲を確認して、必要なら客先の情シスと連携するのが先決だと考えています。

エンジニア・SES現場への示唆

ここからが本題です。「Atlassian製品の脆弱性」で終わらせず、AIアシスタント全般の運用にどう反映するかを整理します。

常駐先のRovo有効/無効を確認する

SESエンジニアが最初に確認すべきは、常駐先のAtlassian環境でRovoが有効かどうかです。Standard・Premium・Enterpriseプランではデフォルトで有効になっているため、明示的に無効化されていない限り使える状態にあります。

Enterpriseプランではアプリ単位・ユーザーグループ単位の制御が可能ですが、Standard・Premiumプランではこのきめ細かい制御機能がありません。自社・常駐先がどのプランで、Rovoがどう設定されているかを確認するのが出発点です。

「AI機能をオフにした」が実態と合っているか検証する

今回の脆弱性で最も教訓的なのは、管理画面のトグルが実際の機能範囲と一致しないケースです。Web検索をオフにしてもURL取得が残る。管理者は「対策済み」のつもりでも、実際には穴が開いている。

これはRovoに限った話ではありません。Claude Code・GitHub Copilot・Cursorなど、AIツールを業務で使うとき、設定画面で無効にしたはずの機能が裏側で有効なままになっていないか。特に常駐先でAIツールの利用ルールを策定する際、「オフにした」の実態を技術的に検証するステップが必要です。

AIアシスタントのコネクタ範囲を最小化する

Varonisの調査によると、Rovoは50以上のコネクタを通じてJira・Confluence以外のデータソースにもアクセスできます。Microsoft 365・Google Workspace・Slack・データベースまで。AIアシスタントの利便性を高めるためにコネクタを増やすほど、脆弱性発生時の影響範囲が広がるという構造です。

Varonisが推奨しているのは、法務・人事・財務・IR部門など機密性の高い部署のデータはRovoのスコープから除外すること。使わないコネクタの切断、不要なブラウジングエージェントやマルチステップ自動化の無効化も対策になります。

今すぐ確認・検討すべきこと

• 今日確認すること: 自社および常駐先のAtlassian環境でRovoが有効かどうかを確認する。有効な場合、どのコネクタが接続されているかをリストアップする。確認方法がわからなければ、情シス担当に「Rovoの有効状態とコネクタ一覧」を問い合わせる
• 今週中にやること: Rovoが有効な環境で、Web検索設定がどうなっているかを確認する。「オフにしている」場合でも、PromptArmor経路が残る可能性があることを情シスと共有する。また、Rovo以外のAIアシスタント（Microsoft 365 Copilotなど）を使っている場合、そちらの権限設定も合わせて棚卸しする
• 今月中に検討すること: AIアシスタントの利用ルールに「コネクタ範囲の最小化」「機密部署データの除外」「アシスタントログの定期監視」を含めるかどうかを検討する。常駐先の場合はクライアントのセキュリティ担当との協議が必要

よくある質問

Q1: Rovoを使っていなくても影響を受けますか？
RovoはStandard・Premium・Enterpriseプランでデフォルト有効です。あなた自身がRovoを使っていなくても、同じ組織内の他のメンバーがRovoを通じてあなたのJiraチケットやConfluenceドキュメントにアクセスしている可能性があります。影響範囲はRovoの有効/無効と、各ユーザーのアクセス権限に依存します。

Q2: RovoBlast（ワンクリック攻撃）はまだ危険ですか？
いいえ。Varonisが発見したRovoBlastは、Atlassianが2026年7月8日にサーバーサイドで修正済みです。Bugcrowdで解決が確認されています。ユーザー側でのパッチ適用は不要です。

Q3: PromptArmor経路（ゼロクリック攻撃）は修正されましたか？
2026年8月8日時点で修正は確認されていません。PromptArmorが5月23日に報告してから2ヶ月以上、Atlassianから実質的な回答がない状態です。最新の状況はAtlassianの公式アナウンスを確認してください。

Q4: Web検索をオフにすれば安全ですか？
PromptArmor経路については、安全ではありません。Web検索をオフにしてもRovoのURL取得ツールは残るため、攻撃は成功し得ます。Web検索のオフは防御策として不十分です。

Q5: SESの常駐先でRovoが有効な場合、自分で何かできますか？
まず常駐先の情シス担当にRovoの設定状況を確認してください。エンジニア個人がRovoの管理設定を変更できるケースは通常ありません。ただし、自分がアップロードするファイルや、共有されたファイルの出所に注意を払うことは個人レベルでもできます。不審なファイルが共有された場合は情シスに報告してください。

まとめ

Atlassian Rovoに見つかった2つの脆弱性は、企業向けAIアシスタントが「便利さと引き換えに持つデータアクセスの広さ」そのものがリスクになる構造を浮き彫りにしています。

確定しているのは、2社が独立に脆弱性を発見し、1件は修正済み、1件は未確認という状態が2026年8月8日時点で続いていることです。実際の被害は報告されていませんが、RovoがStandard以上のプランでデフォルト有効であることを踏まえると、影響範囲の確認は後回しにすべきではありません。

今年に入ってからだけでも、ChatGPT・Microsoft 365 Copilot・OpenClaw・そしてRovoと、企業向けAIアシスタントの脆弱性が立て続けに公開されています。個別の製品の問題として片付けるのではなく、「AIアシスタントにどこまでのデータアクセスを許可するか」を組織として設計する段階に来ています。

参考・出典

• Atlassian Rovo Exfiltrates Data, Bypassing Controls（https://www.promptarmor.com/resources/atlassian-rovo-exfiltrates-data） — PromptArmor（参照日: 2026-08-10）。間接プロンプトインジェクション経路の技術分析・開示タイムライン【一次】
• RovoBlast: How One Click Triggered Atlassian's AI Assistant to Leak Data（https://www.varonis.com/blog/rovoblast） — Varonis Threat Labs（参照日: 2026-08-10）。RovoBlast（パラメータ注入型）経路の技術分析・DEF CON 34発表内容【一次】
• Atlassian Rovo Can Be Tricked Into Sending Jira and Confluence Data to Attackers（https://thehackernews.com/2026/08/atlassian-rovo-can-be-tricked-into.html） — The Hacker News（参照日: 2026-08-10）。2件の脆弱性をまとめた詳報。修正状況・影響プランの整理
• A vulnerability has been discovered in Atlassian's AI 'Rovo'（https://gigazine.net/gsc_news/en/20260806-atlassian-rovo/） — GIGAZINE（参照日: 2026-08-10）。PromptArmor経路の時系列・攻撃手法の解説
• Atlassian Rovo Data Exfiltration: Why Turning Off Web Search Won't Stop Prompt Injection（https://daily.steinslab.io/en/events/2026-08-06-atlassian-rovo-data-exfil/） — Dango Daily（参照日: 2026-08-10）。Web検索設定の不十分さに焦点を当てた分析
• Critical One-Click Vulnerability in Atlassian's Rovo AI Exposed Enterprise Data（https://www.securityweek.com/critical-one-click-vulnerability-in-atlassians-rovo-ai-exposed-enterprise-data/） — SecurityWeek（参照日: 2026-08-10）。RovoBlast経路の概要