Atlassian Rovo、制御を迂回してデータを外部送信

Atlassian Rovo Exfiltrates Data, Bypassing Controls

AtlassianのAIエージェント「Rovo」に、間接的なプロンプトインジェクションを利用したデータ外部送信の脆弱性が発見されました。攻撃者はRovoのURL取得ツールを悪用し、JiraチケットやConfluenceドキュメントを外部サイトに送信させます。この攻撃は、組織がWeb検索を無効にしていても成功します。PromptArmorは2026年5月にAtlassianへ報告しましたが、2か月以上経過しても修正されておらず、情報が公開されました。