Atlassianのエンタープライズ向けAIアシスタント「Rovo」に、新たに公表された脆弱性が見つかりました。攻撃者はこれを悪用し、1つの悪意あるリンクだけで機密性の高い企業データを外部に漏洩させる経路を作り出すことができます。
Varonis Threat Labsによって「RovoBlast」と名付けられたこの欠陥は、Rovo Chatが外部から渡されるURLパラメータを処理する方法を悪用するものです。ログイン済みの従業員が細工されたリンクをクリックすると、攻撃者が用意したテキストがRovoのチャットインターフェースに事前入力済みのプロンプトとして挿入されてしまいます。
このプロンプトは被害者の認証済みRovoセッション内で実行され、その従業員が持つ既存の社内リソースへのアクセス権をそのまま引き継ぎます。この問題はAtlassianに責任ある開示が行われ、Bugcrowdの脆弱性開示プロセスを通じてすでに修正されています。
今回の攻撃は「パラメータ・トゥ・プロンプト」と呼ばれる手法を利用したものです。これは、URLに含まれるコンテンツを信頼できるAI入力として扱ってしまう仕組みを突くものです。RovoのrovoChatPromptパラメータを使うと、あらかじめ指示内容が入力された状態でRovo Chatを開くリンクを作成できてしまいました。
これにより、非常に手軽なプロンプトインジェクションの実行手段が生まれてしまいます。被害者はテキストをコピーする必要も、文書をアップロードする必要も、新たな権限を付与する必要も、明示的に操作を承認する必要もありません。クリック一つで、ユーザー自身のIDで動作するAIワークスペースに悪意ある指示を直接送り込めてしまうのです。
Varonisによると、問題となった挙動には目立った警告表示や確認ダイアログ、あるいはそのプロンプトが信頼できない外部パラメータに由来することを示す表示が一切なかったといいます。
さらにこのプラットフォームは、ユーザーを既定の組織コンテキストへ自動的にリダイレクトすることもあり、認証済みのAtlassianユーザーを狙う攻撃者にとってハードルが下がる要因となっていました。
RovoはJira、Confluence、Bitbucketをはじめとする各種Atlassian製品にまたがって検索・チャット・エージェント機能を統合するよう設計されています。また、Slackなどのサードパーティ企業向けプラットフォーム、Microsoft 365、Google Workspace、各種データベース、ファイル、Webページ、アーカイブとも連携が可能です。
こうした連携範囲の広さが、今回の脆弱性を一般的なチャットボットのプロンプトインジェクションよりも深刻なものにしています。攻撃者の指示が一度信頼済みのRovoセッションに入り込んでしまえば、AIアシスタントは対象となった従業員がすでにアクセス可能な各種データソースを横断的に検索できてしまうためです。
研究者らによると、今回の攻撃には従来型のジェイルブレイクも、権限の直接的な回避も、繰り返しプロンプトを送る「二重リクエスト」的な手法も必要なかったといいます。
その代わりに悪用されたのは、認証済みユーザーに代わって指示を解釈し、組織内の情報にアクセスするというAIアシスタント本来の正当な機能そのものでした。Varonisは、潜在的な攻撃チェーンにおいて特に懸念される要素として、Rovoの「ResearchAgent」を挙げています。
このエージェントは複数ステップにわたる調査やWebナビゲーションをサポートしており、こうした機能があることで、単純な情報取得リクエストが、データの収集・変換・外部送信という一連の広範な処理へと発展しかねません。
このモデルにおいて漏洩リスクを高めているのは、(1)機密性の高い社内データへのアクセス、(2)信頼できないコンテンツの取り込み、(3)外部への通信手段、という3つの条件です。セキュリティ研究者はこの組み合わせを、AIエージェントにおける「三重の脅威（lethal trifecta）」としばしば呼んでいます。
RovoBlastは、外部インターネットへのアクセスだけが唯一の情報流出経路ではないことを示しています。連携サービス、エージェントツール、ブラウジング機能、リンクプレビュー、Webhook、そして信頼されたSaaS連携なども、いずれも情報が組織外へ流出する潜在的な経路になり得るのです。
Rovoを利用している組織は、未使用の連携を切断し、法務・人事・財務・インシデント対応関連のコンテンツを含む高機密リポジトリへのアクセスを制限することで、アシスタントがアクセスできるデータ範囲を縮小すべきです。
またセキュリティチームは、特にブラウジングや複数ステップの自動処理といった不要なエージェント機能を無効化するとともに、不審な検索やエージェントの実行、プラットフォームをまたいだアクセスパターンがないか、AIの活動を監視する必要があります。
RovoBlastは、企業向けAIセキュリティが抱えるより広範な問題を浮き彫りにしています。新たなコネクタが1つ追加されるたびに生産性は向上する一方で、たった一つの入力を誤って信頼するだけでもたらされる結果の深刻さもまた、拡大し続けているのです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを短縮しましょう
翻訳元: https://cyberpress.org/rovoblast-flaw-one-click-force-atlassian-ai/