AI Security
文書を読ませただけで、
社内データが外に漏れる
クリックも承認もいらない。悪意ある一文が仕込まれたConfluenceのページをAIが「読んだ」瞬間に、機密データが外部へ送信される——Atlassianの業務AI「Rovo」に、そんな欠陥が見つかった。文書を丸ごと読ませて答えさせる設計そのものが問われている。
読ませるだけで発火する、
「間接型」の攻撃
セキュリティ企業PromptArmorは、Atlassianの業務向けAIエージェント「Rovo」（Jira・Confluenceに組み込まれる生成AI機能）に、ゼロクリックのデータ持ち出しを許す欠陥があると報告した。攻撃者が用意した指示文をConfluenceの文書などに仕込んでおくだけで、それをRovoが「読む」タイミングで指示が実行され、組織内のデータが外部へ送信されるという。PromptArmorの報告書によれば、この攻撃はRovoが備えるURL取得ツールを悪用しており、人間による承認やクリックを一切必要としない。
日本でもGIGAZINEが2026年8月6日にこの欠陥を報じ、「文書を読ませるだけで社内データが外部へ送信される」実態を伝えている。プロンプトインジェクションのなかでも、利用者が気づかないまま発火する「間接型」の典型例だ。
報告から公表まで、
2ヶ月以上の沈黙
責任ある開示の手順を踏んだにもかかわらず、Atlassian側の反応は鈍かった。
PromptArmorは2026年5月23日にAtlassianへ非公開で報告し、Atlassianはケース番号を発行したものの、その後2ヶ月以上にわたり具体的な回答がなかったという。詳細な返答がないまま8月5日に情報が公開された経緯を、PromptArmor自身が報告書内で説明している。さらに厄介なのは、管理者が「Web検索」機能を無効化しても効果が薄いという指摘だ。無効化すると利用者向けの画面上からは機能が消えるものの、Rovo内部のURL取得ツール自体は動き続け、攻撃の経路は塞がれない。
なぜ今、これが重要か
「文書を丸ごと読ませて答えさせる」設計が、業務AIの標準になったからこそ効いてくる。
ここ数年、SaaS型の業務AIは「社内文書やチケットを全部読み込ませて、質問に答えさせる」という設計を競うように採用してきた。Confluenceの議事録もJiraのチケットも、AIが横断的に読める前提で価値を高めてきたわけだ。だが今回のRovoの件は、その前提そのものが攻撃面になりうることを示している。AIが「読む」対象を広げるほど、攻撃者が指示文を仕込める場所も広がる——これは特定の一製品の不具合というより、同種のRAG型業務AI全般に共通する構造的なリスクだ。
とりわけ深刻なのは、管理者側の対策が期待通りに効かないという点。「危険そうな機能はオフにした」という運用上の安心感が、実際には抜け道を塞いでいなかった——これは他の業務AI製品の設定を見直すきっかけにもなる。
誰に・どう効くか
エンジニア・管理者
Rovoの外部URL取得・Web検索まわりの設定を洗い直す。「オフにした」設定が実際に経路を塞いでいるか、ログで確認しておきたい。
ビジネス・PM
Confluence・Jiraに機密情報をどこまで置いているか棚卸しを。Rovoに読ませる文書の範囲と権限設定を、セキュリティ担当と確認する。
個人利用中心の読者
Rovoや同種の企業向け業務AIを使わない個人利用では、直接の影響はほぼない。ただし「文書を丸ごと読ませるAI」全般への注意点として覚えておく価値はある。
次に何をすべきか
Rovoの外部通信設定を点検する
Web検索・URL取得系の機能が「無効化」表示のまま裏で動いていないか、管理コンソールとログの両方で確認する。
機密文書へのAIアクセス範囲を絞る
Rovoが読める空間・プロジェクトの権限を最小限にし、外部公開前提でない機密文書は読み込み対象から外す。
Atlassianの正式な修正案内を待って追随する
本稿執筆時点で恒久的な修正は未確認。Atlassianからのパッチ・ガイダンスが出次第、速やかに適用する体制を整えておく。
クリックしなくても、漏れる。
読ませただけで扉は開いていた。
反対視点・リスク・限界
過度に不安を煽る前に押さえておきたい点もある。本稿執筆時点で、この欠陥が実際の攻撃に悪用された事例は確認されていない。PromptArmorが報告しているのは「悪用が可能である」ことであり、「悪用された」ことではない。Atlassian側からの公式な説明や修正スケジュールも、本稿執筆時点では確認できていない。
影響の範囲も限定的だ。RovoをConfluence・Jiraに導入し、かつ機密情報をそこに集約している組織でなければ、直接のリスクは小さい。とはいえ、「文書を丸ごと読ませて答えさせる」設計は業界標準になりつつあり、Rovoに限らず同種のAIアシスタントを使う組織は、他人事とせず自社の設定を点検する価値がある。