DEF CON 34:「RovoBlast」が明らかにしたAtlassian Rovoのデータリスク

Varonis Threat Labsの研究者らは、Atlassian Rovoに影響する脆弱性「RovoBlast」を発見しました。

この脆弱性は、悪意を持って細工された1本のリンクだけで、ユーザーの信頼済みAIセッションに攻撃者が制御する命令を注入し、組織のデータを流出させる恐れがあることを示しています。

研究者のDolev Taler氏とMark Vaitsman氏は、Atlassianへ責任ある形で脆弱性を報告し、同社が対処を完了した後、DEF CON 34でこの調査結果を発表しました。

RovoBlastは、企業向けAIが抱えるより広範なセキュリティ課題を浮き彫りにしています。

AIアシスタントが機密データにアクセスし、複数の業務システムと自律的にやり取りできるようになると、信頼できない入力によって、従来のチャットボットセッションをはるかに超えるリスクが生じる可能性があります。

Varonis RovoBlast調査の要点

• RovoBlastはParameter-to-Prompt(P2P)攻撃を用いており、細工されたリンクによって、認証済みのAtlassian Rovoセッションに攻撃者が制御する命令を注入できました。
• この攻撃には従来型のジェイルブレイクや権限バイパスは不要で、ユーザーが既に持っているアクセス権を利用して、連携する企業システムから情報を取得する仕組みでした。
• Rovoの各種連携機能と自律エージェント機能により、被害が及ぶ範囲(ブラストラジアス)が拡大し、最小限のユーザー操作で機密データが取得・流出しうる経路が生まれていました。
• 組織はAIの権限、連携機能、自律的な処理能力を制限するとともに、外部から与えられるプロンプトを信頼できない入力として扱い、AIの活動を監視して悪用の兆候を検知すべきです。

RovoBlast攻撃の仕組み

Atlassian Rovoは、Jira、Confluence、Bitbucket、および連携する各種サードパーティサービス全体で検索・対話・エージェント機能を提供する企業向けAIアシスタントです。

研究者らは、RovoがURLパラメータ「rovoChatPrompt」経由で外部から提供されたコンテンツを受け付けてしまうことを発見しました。

そのため、特別に細工したリンクをログイン中のユーザーがクリックすると、攻撃者が制御する命令をあらかじめRovo Chatに入力させることが可能でした。

Varonisはこの手法をParameter-to-Prompt(P2P)と呼んでおり、これは同社がMicrosoft Copilotを対象とした「Reprompt」調査で以前に報告した攻撃パターンです。

RovoBlastが特に懸念される点は、悪用に従来型のジェイルブレイクや権限バイパスを必要としないことです。

研究者らによると、外部から与えられた命令は、目立った警告や、そのプロンプトが外部パラメータ由来であることを示す確認もないまま、ユーザーの認証済みRovoセッションに入り込んでしまう可能性がありました。

その後、Rovoが取得できる情報の範囲は、そのユーザーが既に持っている権限によって決まります。

Rovoの連携機能が被害範囲を拡大

Rovoの利便性は、企業システム全体の情報を検索・統合できる点に一部由来しています。しかし、まさにこの連携性の高さが、RovoBlastの潜在的な影響を拡大させました。

検証の過程で研究者らは、RovoがJira、Slack、Google Workspace、Microsoft 365、各種データベース、アップロード済みファイル、その他の連携リソース全体のデータにアクセスできることを確認しました。

さらにRovo Connectorsを使えば、このアクセス範囲を数十もの外部サービスにまで広げることができます。

これは、AIのプロンプトインジェクションと従来型のアプリケーション攻撃との間にある重要な違いを示しています。

AIアシスタントがユーザーに代わって各システムへの正規のアクセス権を既に持っている場合、攻撃者は個々の基盤システムを一つずつ侵害する必要さえないかもしれません。

また、認証済みAIセッションを通じて実行される操作は正規の活動と見分けがつきにくいため、悪意ある挙動を通常のAI支援ワークフローと区別することがより困難になる恐れもあります。

自律エージェントが生む、もう一つのデータ流出経路

研究者らは、複数の情報源にまたがる調査や多段階のWebナビゲーションを実行できるRovoの「ResearchAgent」についても検証しました。

こうした自律的な機能は、RovoBlastの影響をさらに増幅させる可能性があります。

いったん悪意ある命令が信頼済みセッションに入り込めば、エージェントは機密データを取得し、最小限のユーザー操作でそれを外部に流出させる恐れがあります。

Varonisによると、検証した攻撃は、AIのガードレールを回避するために用いられるような複雑な手法ではなく、概ね最初のP2Pによるやり取りだけで成立してしまったとのことです。

この発見は、組織がAIエージェントを評価する際、取得できる情報の内容だけでなく、その情報を使ってどのような操作を実行できるかという観点も踏まえるべきであることを示しています。

企業がAIのリスクを低減するには

Atlassianは公表されたRovoBlast脆弱性への対処を完了していますが、連携型AIアシスタントを利用する組織は、同様の攻撃による影響を抑えるため、より広範な対策を講じるべきです。

セキュリティチームは以下を実施すべきです。

• AIによる機密システムへのアクセスを制限し、被害範囲を抑えるために使われていないコネクタ、連携機能、データソースを削除する。
• 最小権限の原則を適用し、可能な場合は専用のAIサービスIDを使用して、アクセス範囲を制限しアカウンタビリティを高める。
• 外部から与えられるプロンプトやパラメータを信頼できない入力として扱い、機密性の高い操作やデータアクセスを許可する前に検証する。
• 自律的な機能と外部への通信を制限し、AIエージェントが不必要にWebを閲覧したり、多段階の操作を実行したり、データを外部に送信したりすることを防ぐ。
• データ損失防止(DLP)対策を用いて、機密情報や規制対象情報、重要情報の不正な流出を検知・遮断する。
• AIの活動を監視・記録し、不審な検索、想定外のデータアクセス、疑わしいエージェントの挙動、外部宛先とのやり取りがないか確認する。
• 攻撃シミュレーションツールや、プロンプトインジェクションをはじめとするAIを悪用した攻撃を想定したシナリオを用いて、インシデント対応計画をテストする。

これらの対策を組み合わせることで、連携型AIアシスタントの攻撃対象領域を縮小し、信頼できない入力が企業の信頼済みワークフローに到達した場合の潜在的な影響を抑えることができます。

結論

RovoBlastは、AIアシスタントが企業のシステム、データ、ワークフローへのアクセスをより深く持つようになるにつれて浮上する、セキュリティ上のリスクを浮き彫りにしています。

連携性の向上は生産性を高める一方で、権限、連携機能、自律的な処理能力が一つ増えるたびに、攻撃者がAIの操作に成功した場合の被害範囲も拡大していきます。

企業向けAIのセキュリティを確保するには、プロンプトのフィルタリングにとどまらない対策が求められます。

組織は、AIアシスタントが何にアクセスできるのか、エージェントがどのような操作を実行できるのか、そして外部からの、あるいは信頼できない入力が機密リソースに到達する前にどう扱われるのかについて、明確な信頼境界を設けなければなりません。