研究者ら、Atlassian製AIアシスタントに「RovoBlast」脆弱性を発見

Atlassianの企業向けAIアシスタントに存在した欠陥により、細工された1本のリンクだけで攻撃者の指示を被害者の認証済みセッションに送り込み、さらにアシスタント自身のブラウジングエージェントを悪用して企業データを公開Web上に流出させることが可能だったことが分かりました。

この脆弱性を発見したVaronis Threat Labsは、これを「RovoBlast」と命名してAtlassianに報告し、8月7日にDEF CON 34での発表を経て分析結果を公開しました。Atlassianは既に修正を完了しています。

Rovoは、Jira、Confluence、Bitbucketに加え、Slack、Microsoft 365、Google Workspaceなどの連携サービス全体にまたがるAIレイヤーとして機能します。

何を読み取れるか尋ねたところ、Rovoはこれらすべてに加え、リレーショナルデータベース、アップロード済みファイル、Webページ、アーカイブを挙げました。Atlassianのコネクタカタログは50を超えるプラットフォームに対応しています。

AIアシスタントによるデータ漏洩に関する関連記事: 新たなゼロクリックAI脆弱性により企業データの窃取が可能に

URLに埋め込まれたプロンプト

RovoはチャットのエントリーをあらかじめURLパラメータで埋め込める仕様になっており、リンクに含まれる内容がそのままセッションに表示されてしまいました。Varonisはこの手口を「Parameter-to-Prompt」と呼び、同種の手法を1月にMicrosoft Copilotでも「Reprompt」という名称で確認していたと報告しています。

被害者のセッションは既にブラウザ上に保持されているため、必要な操作はクリック1回だけでした。警告は一切表示されず、確認も求められず、そのセッションが外部パラメータから生成されたものであることを示す痕跡も残りませんでした。

パス内の組織識別子は空欄のままでもよく、その場合Atlassianはリクエストをユーザーのデフォルト組織へリダイレクトしていました。

Varonisは、信頼できないプロンプトに対するRovoのガードレールを「ほぼ皆無」と表現し、多くの場合クリック1回だけで、バイパス技術を用いることなくアシスタントに機密情報を取得・要約させることができたと述べています。

アシスタント自身の調査ツールが「出口」に

この不正アクセスをデータ流出につなげるには外部への出口経路が必要ですが、Varonisはそれが既に組み込まれていることを発見しました。RovoのResearchAgentは複数の情報源にまたがるオープンWeb調査を行う機能を持ち、複数のステップにわたって任意のWebサイトを自律的に閲覧・操作できます。

この組み合わせにより、社内コンテンツの取得、その変換、外部到達可能な場所への投稿という一連の攻撃チェーン全体が、単一のエージェント実行だけで完結してしまいました。すべてのステップを1つのエージェント内で連鎖させることで、ユーザーに見える操作の回数も減り、監査ログには通常の調査活動と見分けがつかない記録しか残りませんでした。

さらに問題を深刻にしているのは、RovoをAtlassian環境から完全に排除することができない点です。そのため、組織はアンインストールによって攻撃対象領域を根本からなくすことができません。

Varonisは、アシスタントがアクセスできる範囲を縮小し、使用していない連携を解除し、法務・人事・財務・インシデント対応関連のコンテンツを完全にスコープ外とすることを推奨しています。

また、ブラウジングエージェントや多段階の自動処理を利用しないチームではこれらを無効化すること、アシスタントのログを定期的に確認すること、異常なエージェント実行に対してアラートを設定すること、そして環境が細工されたプロンプトにどう反応するかを定期的にテストすることも助言しています。