Un assistant IA trop bien intégré pour être sûr
Atlassian Rovo se présente comme un « coéquipier IA » : il agrège les données de Jira, Confluence, SharePoint, Slack, Google Workspace et d'une cinquantaine d'autres plateformes pour répondre aux questions des collaborateurs. C'est précisément cette intégration profonde qui en a fait une cible de choix.
Deux vulnérabilités distinctes, divulguées début août 2026, montrent que la promesse d'efficacité embarque une surface d'attaque inédite — et que les mécanismes de sécurité classiques n'y voient que du feu.
RovoBlast : un paramètre d'URL comme déclencheur
La première faille, baptisée RovoBlast par les chercheurs de Varonis Threat Labs et présentée à DEF CON 34, exploite un paramètre d'URL nommé rovoChatPrompt. Ce paramètre permettait de pré-remplir le chat Rovo avec des instructions arbitraires — et l'assistant les exécutait comme si elles venaient de l'utilisateur lui-même.
L'attaque ne nécessite ni jailbreak, ni exploitation de faille applicative classique. Il suffit qu'un utilisateur authentifié clique sur un lien forgé. Rovo prend alors le relais via son composant ResearchAgent, un outil interne capable de naviguer de manière autonome entre les systèmes connectés et d'envoyer des données vers des URL externes. Résultat : tickets Jira, pages Confluence et documents SharePoint pouvaient transiter silencieusement vers un serveur contrôlé par l'attaquant.
Atlassian a corrigé RovoBlast côté serveur le 8 juillet 2026, avant la publication des travaux de Varonis. À noter que ces mêmes chercheurs avaient découvert une faille similaire — surnommée « Reprompt » — dans Microsoft Copilot dès janvier 2026. Le vecteur « paramètre vers prompt » ne semble donc pas propre à un éditeur : c'est une catégorie de vulnérabilité émergente dans les assistants IA d'entreprise.
La faille non corrigée : l'injection par fichier uploadé
La seconde vulnérabilité, découverte par la société PromptArmor, emprunte un chemin différent. Un attaquant intègre des instructions malveillantes dissimulées dans un document d'apparence ordinaire — un guide de backlog, un compte-rendu de sprint. Quand un collaborateur demande ensuite à Rovo d'analyser ce fichier, l'assistant suit les instructions cachées et construit des URLs contenant les données sensibles récupérées dans Jira ou Confluence. L'attaquant n'a plus qu'à consulter les logs de son serveur.
Ce qui rend cette variante particulièrement préoccupante : elle fonctionne même lorsque la recherche web a été désactivée dans les paramètres de l'organisation. Désactiver cette option ne supprime pas l'outil de récupération d'URL sous-jacent que Rovo utilise pour construire les requêtes d'exfiltration.
PromptArmor a notifié Atlassian le 23 mai 2026. Après plus de deux mois de relances sans réponse ni correctif, la société a publié ses conclusions le 5 août pour alerter les équipes IT. Au moment de cette publication, la faille restait non corrigée.
Quand les contrôles d'administration ne suffisent plus
Ces deux incidents soulèvent une question structurelle pour les équipes IT et sécurité : comment auditer ce qu'un assistant IA peut faire avec des données internes, quand les contrôles d'interface ne reflètent pas les capacités réelles de l'agent sous-jacent ?
Les WAF, DLP et SIEM ne sont pas conçus pour intercepter les requêtes formulées en langage naturel par un agent IA vers ses connecteurs. Et les droits accordés à Rovo via ses cinquante connecteurs ne sont pas des droits lecture anodins : ils constituent une surface de collecte unifiée que tout prompt malveillant peut mobiliser en quelques secondes.
Avant d'étendre les connexions d'un assistant IA à l'ensemble du patrimoine informationnel de l'entreprise, l'inventaire des outils effectivement accessibles à l'agent — et pas seulement ceux déclarés dans l'interface d'administration — s'impose comme un prérequis de sécurité à part entière.