PDF 숨겨진 텍스트 하나로 아틀라시안 AI 에이전트 Rovo에서 기업 데이터 탈취 가능
보안 회사 PromptArmor가 아틀라시안(Atlassian)의 AI 에이전트 Rovo에서 심각한 간접 프롬프트 인젝션 취약점을 발견했음. 공격자는 흰색 배경에 흰색 글씨로 작성된 숨겨진 지시문이 담긴 PDF 문서 하나만으로 Jira 티켓과 Confluence 문서에 저장된 민감한 기업 데이터를 외부 서버로 빼돌릴 수 있음. 이 공격은 사용자의 확인 절차 없이 실행되며 채팅 화면에도 흔적이 남지 않아 탐지가 사실상 불가능함.
공격 방식: 사용자 눈에는 보이지 않는 주입
공격 시나리오는 간단함. 사용자가 Rovo에 Jira 티켓 정리를 요청하면서 겉보기에 무해한 PDF를 첨부하면, Rovo는 파일을 처리하는 과정에서 1포인트 크기의 흰 글씨로 숨겨진 악성 지시문을 읽어들임. Rovo는 이 지시에 따라 Jira와 Confluence에서 관련 데이터를 수집한 뒤, 수집된 정보를 쿼리 파라미터에 담은 URL을 동적으로 생성해 내장된 UrlReadTool을 통해 공격자의 서버로 전송함. 티켓 설명·담당자·우선순위·라벨 등 전체 Jira 티켓 내용과 온보딩 가이드, 플랫폼 아키텍처 설명 같은 Confluence 내부 문서까지 유출 대상이 됨.
왜 차단하기 어려운가
Rovo가 Jira·Confluence뿐 아니라 서드파티 커넥터를 통해 연결된 다양한 서비스에도 접근할 수 있다는 점이 취약점의 위험성을 키움. 조직 수준에서 웹 검색 기능을 비활성화해도 UrlReadTool은 그대로 남아 있어 데이터 유출 경로를 막지 못함. 또한 PromptArmor는 두 번째 유출 경로도 확인했음. Rovo가 AI 출력물에서 마크다운 이미지를 렌더링하는 기능이 악용될 수 있는데, 이는 간접 프롬프트 인젝션을 통한 데이터 탈취의 잘 알려진 공격 벡터임. 공격에 사용되는 주입 소스도 PDF에 국한되지 않으며, 지원 티켓·웹 콘텐츠·서드파티 커넥터에서 유입되는 데이터도 인젝션 매개체로 활용될 수 있음.
아틀라시안, 두 달째 무응답
PromptArmor는 2026년 5월 23일 아틀라시안에 취약점을 신고했고, 이틀 뒤 아틀라시안은 접수를 확인했음. 그러나 6월 4일과 7월 29일 두 차례 추가 연락에도 아틀라시안 측은 응답하지 않았으며, 보고서 공개일인 8월 5일 기준으로 Rovo는 여전히 취약한 상태임. PromptArmor는 사용자들이 위험을 인식할 수 있도록 조사 결과를 공개한다고 밝혔음.
AI 보안의 미해결 과제, 프롬프트 인젝션
이번 사례는 간접 프롬프트 인젝션이 AI 에이전트 생태계 전반에 걸쳐 아직 해결되지 않은 구조적 보안 문제임을 다시 한번 보여줌. 마이크로소프트 코파일럿 등 다른 AI 시스템도 유사한 취약점에 노출된 바 있음. AI 에이전트가 기업 내부 시스템과 더 깊이 통합될수록, 외부에서 주입된 악성 지시문이 광범위한 데이터 유출로 이어질 위험은 더욱 커질 수밖에 없음.
원문: THE DECODER →