研究者が発見したところによると、細工されたリンクによって悪意ある指示をAtlassian Rovoに注入することが可能で、企業全体に及ぶ広範なアクセス権と自律エージェント機能が、データ窃取のツールへと変貌しかねない状態だったことが分かりました。
Slack、Microsoft 365、Google Workspaceといった機密性の高い業務環境と連携して利用されることが多いAtlassianの企業向けAIアシスタント「Rovo」に、悪意ある指示によってデータが漏えいする脆弱性が見つかりました。
DEF CON 34で、Varonisの研究者らはRovoのrovoChatPromptパラメータを悪用し、攻撃者が制御する指示をRovo Chatに直接埋め込む攻撃手法を実演しました。
Varonisの研究者Dolev Taler氏はブログ投稿の中でこの攻撃を「RovoBlast」と名付け、次のように述べています。「リンクを1回クリックするだけで、攻撃者が埋め込んだ指示が発動し、外部から与えられたパラメータをユーザーセッション内で信頼できる入力として強制的に受け入れさせることができます」
この攻撃に必要なのは、被害者が特別に細工されたリンクを1回クリックすることだけで、それによって攻撃者はRovoがアクセス権を持つあらゆる情報に事実上アクセスできるようになる可能性がありました。
この問題はBugcrowdでホストされているバグ報奨金プログラムを通じてAtlassianに報告され、同社はすでにこれを修正しています。ただし、同社はCSOのコメント依頼に対して即座には回答しませんでした。
Rovoの広範なアクセス権がクリック1回の被害を拡大させた
Varonisの調査によると、Rovoは組織が利用可能な幅広いデータソース、具体的にはJira、Confluence、Bitbucket、Slack、Google Workspace、Microsoft 365、リレーショナルデータベース、アップロード済みファイル、ウェブページ、アーカイブなどを横断して列挙・検索できることが分かりました。
Varonisによると、Rovoのコネクタは50以上のプラットフォームにまで及びます。攻撃者は認証情報を侵害することなく、認証情報によって保護されたデータにアクセスできる可能性があります。しかもこれは、ユーザーに代わってアシスタントが実行する正当な操作であるかのように見えてしまいます。
Taler氏はまた、Rovoは完全にアンインストールすることができない点も指摘しています。
「リスクの排除を試みる組織であっても、環境内からRovoの存在やそれに伴う攻撃対象領域を完全に取り除くことができない場合があります。そのため、堅牢な入力検証とセキュリティ制御がより一層重要になります」と同氏は述べています。
データ窃取が可能だった
続いてVaronisの研究者らは、Rovoのエージェント機能を使えば、企業情報へのアクセスを実際のデータ窃取経路に転換できるかどうかを検証しました。
その結果、それが可能であることが判明しました。
調査の結果、Rovoの「ResearchAgent」は複数のソースにまたがる深いウェブ調査を実行し、複数の自律的なステップを経てサイト間を移動できることが分かりました。Varonisのテストでは、これによってRovoが社内情報を取得し、外部の宛先へと持ち出すことができる潜在的な連鎖経路が生まれることが確認されました。
重要な点として、研究者らはジェイルブレイクや二重リクエスト手法、あるいは複雑なプロンプト操作といった手段を一切必要としなかったと述べています。細工されたRovoリンクを被害者がクリックするだけで、悪意ある指示を仕込むには十分だったのです。
セッション内に侵入した後は、自律エージェント機能によって攻撃全体を一気通貫で実行できることが示されました。「Rovoには組み込みの自動化機能があり、いったん悪用されると、データ窃取が加速します」とTaler氏は付け加えています。
この脅威は、AIのガードレールの欠陥にとどまらず、自動化された被害拡大のリスクにまで広がっていることから、研究者らはパッチ適用にとどまらない対策を勧告しています。
具体的には、連携するシステムを制限してRovoの被害範囲(ブラストラジアス)を縮小すること、法務・人事・財務・インシデント対応といった機密性の高い領域を対象範囲から除外すること、そして組織にとって不要なブラウジング機能や複数ステップにわたる自動化機能を無効化することを推奨しています。
「アシスタントが閲覧できる範囲が狭ければ狭いほど、プロンプトインジェクションであれエージェントの悪用であれ、漏えいできる情報も少なくなります」と研究者らは述べています。
Varonisは、SearchLeak、EchoLeak、ShadowLeak、Antigravityなど、最近明らかになった他のAI関連攻撃との類似点も指摘しています。同社によれば、RovoBlastは「信頼できない入力、自律的な振る舞い、そして信頼された通信」が組み合わさることで深刻なデータ露出を引き起こす、より広範なAIセキュリティ問題の一例に過ぎないとしています。
