Atlassian Rovo expose Jira via prompt injection IA

Un assistant IA transformé en canal d'exfiltration silencieuse

Le 5 août 2026, la société de sécurité PromptArmor a publié un rapport technique détaillant une vulnérabilité critique dans Atlassian Rovo, l'assistant IA intégré nativement aux plateformes Jira et Confluence. La faille repose sur une technique d'injection indirecte de prompt, qui permet à un attaquant de placer des instructions malveillantes dans des documents ordinaires accessibles par Rovo afin de détourner son comportement sans jamais interagir directement avec l'assistant ni avec les victimes.

Le mécanisme d'attaque documenté par PromptArmor est d'une redoutable simplicité. L'attaquant commence par incorporer des instructions hostiles dans un document apparemment anodin : un fichier téléversé dans Confluence, un ticket Jira, une page de documentation ou tout autre contenu auquel Rovo est susceptible d'accéder lors de ses opérations normales. Lorsqu'un utilisateur légitime demande ensuite à l'assistant d'effectuer une tâche courante — organiser ses tickets Jira en cours, résumer des pages Confluence ou faire le point sur un projet — Rovo traite le document piégé et exécute les instructions qu'il contient comme s'il s'agissait d'ordres légitimes de l'utilisateur.

Dans le scénario démontré par PromptArmor, les instructions cachées ordonnaient à Rovo de collecter les données Jira et Confluence auxquelles l'utilisateur authentifié avait accès, d'appendre ces données à une URL contrôlée par l'attaquant, puis d'ouvrir silencieusement cette URL. Résultat : le contenu de tickets confidentiels, de pages internes et de projets sensibles atterrit directement dans les journaux du serveur adverse. L'utilisateur ne reçoit aucune alerte ; les équipes de sécurité ne voient aucune anomalie apparente, puisque les requêtes sortantes ressemblent à une activité normale de l'assistant IA.

Un second vecteur d'attaque distinct a été identifié par Varonis Threat Labs, de façon indépendante. Cette variante exploitait un paramètre d'URL nommé rovoChatPrompt permettant de pré-charger des instructions malveillantes dans une session Rovo via un simple lien forgé envoyé à la victime. Cette faille a été signalée via le programme Bugcrowd d'Atlassian et était listée comme résolue au moment de la divulgation publique. En revanche, la chaîne d'exploitation basée sur l'injection de contenu dans des documents, décrite par PromptArmor, restait entièrement non corrigée à la date du 5 août 2026.

L'un des aspects les plus préoccupants de la vulnérabilité concerne le contournement du contrôle administrateur de désactivation de la recherche web. Atlassian propose aux administrateurs de désactiver la fonctionnalité de recherche web de Rovo, mesure présentée comme une façon de restreindre les interactions de l'assistant avec le réseau externe. Or, selon les recherches de PromptArmor, cette désactivation supprime uniquement l'interface visible de la fonctionnalité — l'outil sous-jacent permettant à Rovo de récupérer des URLs reste actif dans son arsenal. L'attaque fonctionne donc même dans les environnements où la recherche web a été explicitement désactivée par les équipes IT, contournant ainsi une mesure de sécurité sur laquelle de nombreuses organisations comptaient.

La chronologie de la divulgation soulève des interrogations sérieuses sur les pratiques de réponse aux vulnérabilités d'Atlassian. PromptArmor a contacté l'éditeur australien dès le 23 mai 2026, soit plus de soixante-dix jours avant la publication de son rapport. L'équipe a reçu un accusé de réception assorti d'un identifiant de ticket interne, mais aucune communication substantielle de la part d'Atlassian n'a suivi durant tout cet intervalle. Ce silence de plus de deux mois est particulièrement problématique pour une vulnérabilité permettant l'exfiltration silencieuse et automatisée de données d'entreprise confidentielles.

Les environnements les plus exposés sont ceux dans lesquels Rovo bénéficie d'accès étendus à de multiples services via des intégrations tierces : Jira, Confluence, mais également GitHub, Slack, Google Drive, Figma ou d'autres outils connectés à la plateforme Atlassian. Plus Rovo peut accéder à des données, plus le volume potentiellement exfiltré lors d'une attaque est important. Les organisations opérant dans des secteurs réglementés — santé, finance, défense, administration publique — doivent évaluer en priorité leur exposition, notamment si des documents à caractère sensible transitent par leurs espaces Confluence.

Les équipes de sécurité sont invitées à auditer immédiatement les permissions accordées à Rovo dans leur console d'administration Atlassian, à désactiver les intégrations tierces non essentielles, et à surveiller les journaux d'accès réseau à la recherche de requêtes sortantes vers des domaines externes inhabituels. En l'absence de correctif officiel, une restriction temporaire de l'accès de Rovo aux espaces contenant des données confidentielles ou personnelles est fortement recommandée. Le principe du moindre privilège doit s'appliquer aux assistants IA exactement comme à tout autre système accédant aux données critiques de l'entreprise.

L'injection de prompt : une menace structurelle pour les assistants IA d'entreprise

La vulnérabilité découverte dans Atlassian Rovo illustre une tendance de fond qui préoccupe de plus en plus la communauté de la sécurité offensive : l'injection indirecte de prompt comme vecteur d'attaque générique contre les assistants IA déployés en contexte professionnel. Contrairement aux failles logicielles classiques qui exploitent des bugs dans le code, cette technique tire parti du fonctionnement même des grands modèles de langage, fondamentalement incapables de distinguer de façon fiable les instructions légitimes des instructions malveillantes lorsqu'elles sont présentées dans un contexte conversationnel approprié.

Le cas Rovo s'inscrit dans une série de divulgations similaires qui ont marqué l'année 2026. Les assistants IA intégrés aux outils de productivité — Microsoft 365 Copilot, GitHub Copilot, Salesforce Einstein GPT, et maintenant Atlassian Rovo — présentent tous une surface d'attaque structurellement similaire : ils ont accès à des données sensibles et exécutent des actions pour le compte d'utilisateurs authentifiés, ce qui les rend particulièrement attractifs comme vecteurs d'exfiltration involontaire. La démonstration de PromptArmor n'est pas théorique : dans leurs environnements de test, les données exfiltrées comprenaient le contenu de tickets Jira marqués confidentiels et de pages Confluence protégées par des restrictions d'accès.

Pour les organisations, l'enjeu dépasse largement la simple application d'une mise à jour logicielle. L'adoption accélérée d'assistants IA connectés aux systèmes d'information internes crée une nouvelle catégorie de risque que les modèles de menace traditionnels n'avaient pas anticipée. Un attaquant n'a plus besoin de compromettre un compte utilisateur à privilèges élevés, de déployer un logiciel malveillant ou de pivoter laborieusement dans le réseau interne : il lui suffit de placer du contenu malveillant dans un espace accessible par l'assistant IA pour déclencher une exfiltration automatisée dès qu'un utilisateur autorisé interagit avec l'outil. Cette attaque indirecte est particulièrement difficile à détecter avec les outils de surveillance traditionnels, car les requêtes vers l'URL externe apparaissent dans les journaux comme une activité parfaitement normale de l'assistant.

Du point de vue de la conformité réglementaire, un incident d'exfiltration via cette voie pourrait engager la responsabilité de l'organisation au titre du RGPD si des données personnelles sont concernées — même si l'organisation n'a commis aucune négligence directe dans la configuration de ses systèmes. Les autorités de contrôle européennes considèrent que le déploiement d'outils IA accédant à des données personnelles sans mesures de sécurité appropriées constitue un manquement à l'article 32 du règlement. Ce contexte oblige les délégués à la protection des données à intégrer les assistants IA dans leur registre des risques et leurs analyses d'impact relatives à la protection des données (DPIA) sans délai.

Ce qu'il faut retenir

• L'assistant Atlassian Rovo est vulnérable à l'injection indirecte de prompt, permettant l'exfiltration silencieuse de données Jira et Confluence via du contenu malveillant intégré à des documents ordinaires.
• La désactivation de la recherche web dans les paramètres administrateur ne constitue pas une protection efficace : l'outil de récupération d'URL sous-jacent reste actif dans l'arsenal de Rovo.
• En attendant un correctif officiel, limitez les permissions de Rovo au strict nécessaire, auditez vos intégrations tierces, surveillez les flux réseau sortants et sensibilisez vos équipes aux risques liés aux contenus ingérés par les assistants IA.