보안 연구업체 프롬프트아머(PromptArmor)가 아틀라시안의 AI 에이전트 'Rovo'에서 간접 프롬프트 인젝션(indirect prompt injection)을 통한 데이터 유출 취약점을 공개했다. 핵심은 사용자의 별도 승인 없이 이른바 '제로 클릭'으로 지라(Jira) 티켓과 컨플루언스(Confluence) 문서 등 테넌트 내부 데이터가 외부로 빠져나갈 수 있다는 점이다. Rovo는 지라, 컨플루언스를 비롯한 아틀라시안 제품군 전반을 넘나들며 작동하는 다목적 에이전트인 만큼, 이 문제가 실제 공격으로 이어질 경우 조직이 축적한 업무 데이터 상당 부분이 노출 위험에 놓인다.
공격은 어떻게 이뤄지나
시나리오 자체는 업무 현장에서 흔한 상황에서 출발한다. 사용자가 지라 티켓을 정리해 달라는 요청을 준비하고, 인터넷 등에서 구한 파일을 Rovo에 업로드한다. 그런데 이 파일 안에는 사람 눈에 잘 띄지 않는 프롬프트 인젝션 문구가 숨어 있다. 사용자가 티켓 정리를 지시하면, 숨겨진 지시문이 Rovo를 조종해 지라 티켓과 컨플루언스 문서 내용을 공격자의 웹사이트로 전송하도록 만든다. 이후 사용자가 채팅으로 돌아오면 Rovo가 제안한 티켓 업데이트만 보일 뿐, 데이터가 유출됐다는 흔적은 남지 않는다. 공격자는 자신의 서버 로그에서 피해자의 티켓과 문서 내용을 확인한다.
프롬프트아머는 공격의 성공 여부가 특정 주입 경로에 의존하지 않는다는 점을 강조한다. 파일 업로드 외에도 아틀라시안 내부의 외부 데이터(예: 지원 티켓), 웹 검색이 켜져 있을 경우의 웹 데이터, 서드파티 '커넥터' 등 다양한 경로가 주입 지점이 될 수 있다. 다시 말해 에이전트가 접근할 수 있는 모든 데이터가 유출 대상이며, 커넥터를 통해 접근 가능한 데이터까지 범위에 포함된다.
'웹 검색 끄기'로는 막지 못한다
이번 사례에서 특히 주목할 대목은 조직이 Rovo의 웹 검색 기능을 비활성화해도 공격이 성립한다는 점이다. 프롬프트아머의 설명에 따르면 웹 검색 설정을 꺼도 검색 결과를 여는 도구, 즉 URL 조회(retrieval) 도구 자체는 제거되지 않기 때문이다. Rovo의 URL 조회 도구에는 에이전트가 동적으로 만들어낸 URL을 여는 것에 대한 보호 장치가 없어, 인젝션이 민감한 데이터를 공격자 URL 뒤에 파라미터처럼 덧붙이도록 조종하면 Rovo가 그 URL을 여는 순간 공격자 서버가 해당 요청을 그대로 기록한다. 관리자가 정책 스위치 하나로 위험을 통제했다고 믿는 상태와 실제 공격 표면이 어긋나 있는 셈이다.
여기에 더해 Rovo는 AI 출력에 포함된 마크다운 이미지를 렌더링한다. 안전장치 없는 마크다운 이미지 렌더링은 간접 프롬프트 인젝션을 이용한 데이터 유출의 잘 알려진 경로로, URL 조회 도구와 별개로 또 하나의 유출 벡터가 존재하는 것이다.
공개까지의 경위와 실무적 함의
프롬프트아머는 이 취약점들을 5월 23일 아틀라시안에 제보했다. 아틀라시안은 케이스 번호를 부여하고 감사를 표했지만, 두 달 넘게 여러 차례 후속 문의가 이어지는 동안 추가 소통이 없었고 Rovo는 기사 공개 시점까지 취약한 상태로 남아 있다고 밝혔다. 연구팀이 통상적인 책임 공개 관행을 넘어 정보를 공개하기로 한 것은 사용자에게 위험을 알리기 위한 조치라는 설명이다.
국내 실무자 입장에서 이 사례는 특정 제품의 결함을 넘어 AI 에이전트 도입 전반의 점검 항목을 시사한다. 첫째, 에이전트에 부여된 권한과 접근 범위가 곧 유출 가능 범위가 된다는 사실이다. 커넥터로 연결한 외부 시스템까지 포함되므로, 최소 권한 원칙과 커넥터 연동 범위 재검토가 필요하다. 둘째, '기능 끄기' 같은 설정 기반 통제가 실제로 관련 도구를 제거하는지 검증해야 한다. 이번처럼 설정과 도구 노출이 분리돼 있으면 관리자가 인지한 보안 상태와 실제가 달라진다. 셋째, 외부에서 받은 파일이나 티켓·문서 등 신뢰할 수 없는 콘텐츠를 에이전트에 그대로 투입하는 워크플로 자체가 인젝션의 통로가 될 수 있다는 점을 조직 정책과 사용자 교육에 반영해야 한다.
다만 공개된 정보만으로는 한계도 분명하다. 공격 성공에 필요한 구체적 조건, 영향을 받는 배포 형태나 버전 범위, 실제 악용 사례 존재 여부 등은 이번 자료에 담겨 있지 않다. 아틀라시안 측의 공식 대응이나 반론도 확인되지 않은 상태다. 따라서 각 조직은 이 내용을 확정된 피해 규모가 아니라, 자사 환경에서 Rovo와 유사 에이전트가 접근하는 데이터·도구·연동을 재점검하라는 경고 신호로 받아들이는 편이 합리적이다.