8月10日、The Decoderが「Hidden text in a PDF is enough to steal sensitive data through Atlassian's AI agent Rovo」と題した記事を公開した。この記事では、AtlassianのAIエージェント「Rovo」がPDF内の隠しテキストによるプロンプトインジェクション攻撃に脆弱であり、JiraやConfluenceの機密データが外部サーバーに送信される可能性があることについて詳しく紹介されている。
PDFに白色テキストを仕込むだけで機密データが流出する
セキュリティ企業PromptArmorが8月5日に公開した分析レポート（The Decoderによる紹介記事は8月10日付）によると、AtlassianのAIエージェント「Rovo」には間接プロンプトインジェクションの脆弱性が存在する。
攻撃の手順は以下のとおりだ。
- ユーザーがRovoに「Jiraチケットを整理して」と依頼し、PDFをアップロードする
- そのPDFには白背景に白色・1ポイントサイズの隠しテキスト（プロンプトインジェクション）が埋め込まれている
- Rovoがリクエストを処理する過程でJira・Confluenceを検索し、隠しテキストに乗っ取られる
- エージェントが収集したデータ（チケットの説明・担当者・優先度・ラベルなど）をURLのクエリパラメータに詰め込み、組み込みのURLRetrievalツール（UrlReadTool）を使って攻撃者のサーバーへ送信する
ユーザーがアップロードしたドキュメントに白背景の白テキストで隠されたプロンプトインジェクション。| 画像: PromptArmor
Rovoが一度に読み込めるConfluenceドキュメントにはオンボーディングガイドやプラットフォームアーキテクチャの説明なども含まれており、漏洩するデータの質・量ともに深刻だ。
「Webサーチ無効化」では防げない
管理者がRovoのWebサーチ機能を組織レベルで無効化しても、この攻撃は防げない。Webサーチを切ってもUrlReadTool（URLを開いて読み込むツール）は残るため、プロンプトインジェクションが動的に生成したURLへのデータ送信は止まらない。
さらにPromptArmorは第二の流出経路も発見している。RovoがAI出力からMarkdownの画像をレンダリングする際、不適切なMarkdown画像レンダリングがデータ窃取のベクターになるという。これはAIエージェントにおける既知の攻撃手法だ。
攻撃の特徴：ユーザー確認不要、チャット上に痕跡なし
PromptArmorが指摘する点として、この攻撃はユーザーの確認操作を必要とせず、チャット画面にも痕跡を残さない。被害を受けたユーザーは気づかないまま攻撃が完了する。
また攻撃の起点はアップロードPDFに限らない。サポートチケット、Webコンテンツ、サードパーティコネクター経由で取り込まれたデータも同様にインジェクションの媒体になりうるとしている。Rovoが持つJira・Confluence・その他サービスへの幅広いアクセス権が、この脆弱性を特に危険なものにしている。
Atlassianは2ヶ月以上無応答
PromptArmorは2026年5月23日にAtlassianへ脆弱性を報告。2日後にAtlassianはケース番号を発行し謝意を示したが、6月4日・7月29日のフォローアップには返答がなかった。PromptArmorのレポート公開時点（8月5日）でRovoは依然として脆弱な状態にある。PromptArmorはユーザーへのリスク周知を目的として今回の調査結果を公開した。
プロンプトインジェクションは業界全体の未解決問題
間接プロンプトインジェクションはAIエージェントセキュリティの根本的な課題として業界全体に広がっている。Anthropicは最近、ブラウザベースのプロンプトインジェクションへの対策の進捗を発表したが、これはAnthropicの自社AIエコシステム内に限った話だ。同様の脆弱性は最近、WordドキュメントによるMicrosoft Copilotの乗っ取りでも報告されており、企業向けAIエージェントが共通して抱える構造的な問題であることがわかる。
Rovoを企業内で利用している場合は、外部から取り込まれるドキュメントやデータソースの信頼性に注意が必要だ。Atlassianによる公式の修正は報告から2ヶ月以上が経過した現時点でもなされておらず、PromptArmorは引き続き状況を注視するとしている。
詳細はHidden text in a PDF is enough to steal sensitive data through Atlassian's AI agent Rovoを参照していただきたい。
