L'assistant IA Rovo d'Atlassian peut être détourné pour divulguer des données Jira et Confluence

Des chercheurs en sécurité ont révélé deux vulnérabilités distinctes d'injection de prompt dans l'assistant IA Rovo d'Atlassian, permettant aux attaquants d'exfiltrer silencieusement des données sensibles depuis Jira, Confluence, et des outils tiers connectés — sans que la victime ne se rende jamais compte que son assistant IA a été détourné.

Attaque un : instructions cachées dans des fichiers ordinaires

La société de sécurité PromptArmor a découvert que les attaquants peuvent intégrer des commandes invisibles dans des fichiers par ailleurs ordinaires, comme des PDF — en utilisant des techniques telles que du texte blanc sur fond blanc dans une police minuscule, invisible pour tout lecteur humain mais entièrement lisible par l'IA de Rovo. Lorsqu'un employé télécharge un tel fichier et demande à Rovo de l'aider dans une tâche routinière, comme organiser des tickets Jira, les instructions cachées détournent l'assistant à la place. Rovo extrait alors discrètement des informations sensibles depuis les tickets Jira, les pages Confluence, ou d'autres données connectées, et les transmet à un serveur contrôlé par l'attaquant via son propre outil de récupération d'URL.

L'exploit contourne une protection que les organisations pourraient supposer les protéger : désactiver la fonction de recherche web de Rovo ne supprime pas sa capacité sous-jacente à ouvrir des URL externes, donc le canal d'exfiltration survit même lorsqu'un administrateur pense l'avoir verrouillé. PromptArmor a divulgué la faille en privé à Atlassian le 23 mai 2026, et a publié les détails publiquement le 5 août après avoir confirmé que ce vecteur n'était toujours pas corrigé.

Attaque deux : un simple lien malveillant

Séparément, Varonis Threat Labs a identifié une seconde faille qu'elle appelle « RovoBlast », exploitant un paramètre d'URL nommé rovoChatPrompt qui permet à un attaquant de pré-remplir la fenêtre de chat de Rovo avec des instructions avant même que l'utilisateur ne l'ouvre. Si un employé connecté clique sur un lien spécialement conçu, Rovo traite le texte intégré comme une entrée fiable au sein de la session active de cet utilisateur — s'exécutant avec ses permissions réelles. À partir de là, l'outil intégré ResearchAgent de Rovo, conçu pour la recherche légitime multi-sources, peut être retourné contre l'organisation pour extraire de manière autonome des données de Jira, Confluence, et des services intégrés incluant SharePoint, Slack, Google Workspace, et Microsoft 365, puis les envoyer à l'attaquant.

Varonis a signalé RovoBlast via le programme de récompense de bugs Bugcrowd d'Atlassian, et Atlassian a déployé un correctif côté serveur le 8 juillet 2026 — un délai de réponse bien plus rapide que le vecteur de PromptArmor, toujours ouvert.

Ce qui est réellement en jeu

Les deux attaques peuvent exposer la même catégorie de données d'entreprise sensibles : contenu des tickets Jira, texte des pages Confluence, clés API privées, listes de membres de l'espace de travail, identifiants internes de page et d'organisation, et adresses e-mail des auteurs. Comme Rovo opère avec quel que soit l'accès dont dispose l'utilisateur connecté, le rayon d'impact d'une attaque réussie évolue directement avec l'ampleur avec laquelle une organisation a connecté Rovo à ses systèmes internes.

Pourquoi cela compte au-delà d'Atlassian

Comme l'a rapporté The Hacker News, la faiblesse sous-jacente n'est pas propre à Rovo — elle est structurelle pour tout assistant IA qui traite du contenu externe non fiable (fichiers téléchargés, pages web, ou URL conçues) tout en ayant également un accès privilégié aux systèmes internes. Les chercheurs en sécurité ont signalé cette classe de vulnérabilité, connue sous le nom d'injection de prompt indirecte, comme l'un des problèmes les plus difficiles dans le déploiement d'agents IA d'entreprise, car la charge utile de l'attaque ne touche jamais directement l'utilisateur — elle est contrebandée via un contenu que l'IA lit au nom de l'utilisateur.

Pour les organisations exécutant Rovo ou des assistants IA similaires connectés à des systèmes sensibles, l'étape pratique immédiate consiste à appliquer le correctif de juillet d'Atlassian pour RovoBlast et à traiter le vecteur signalé par PromptArmor comme un risque actif et non résolu jusqu'à ce qu'Atlassian confirme un correctif.