Deux voies d'entrée, deux horloges différentes
Rovo, l'assistant IA d'Atlassian, est désormais intégré à Jira et Confluence, capable de chercher dans les tickets et les pages et de récupérer des données d'applications connectées pour le compte d'un utilisateur. En quelques mois, deux équipes de recherche indépendantes ont trouvé deux moyens distincts de transformer ce confort en canal d'exfiltration de données, et la réponse d'Atlassian a suivi un rythme totalement différent dans chaque cas.
Varonis a signalé sa technique via Bugcrowd, la plateforme officielle de bug bounty d'Atlassian, et a obtenu un correctif côté serveur validé en environ six semaines. PromptArmor a signalé sa technique directement à l'équipe sécurité d'Atlassian en mai et, lors de la publication de ses résultats le 5 août 2026, dix semaines et trois relances plus tard, attendait toujours une réponse. Selon les articles consacrés à ces signalements, aucune des deux failles n'avait de CVE attribué au 8 août 2026.
La version à un clic déjà corrigée par Atlassian
La technique de Varonis, baptisée RovoBlast, exploitait un paramètre d'URL nommé rovoChatPrompt capable de précharger des instructions rédigées par un attaquant directement dans une session Rovo Chat. Un seul clic d'un utilisateur authentifié sur un lien piégé suffisait: Rovo localisait des informations accessibles à la victime, les intégrait dans une URL d'image contrôlée par l'attaquant, et récupérait cette image, livrant ainsi discrètement les données au serveur de l'attaquant. Les tests ont confirmé que la technique pouvait atteindre des clés API privées de Confluence et des données accessibles via les connecteurs Jira, SharePoint et Outlook.
Atlassian a classé le signalement en priorité P2, versé une prime de 6 000 dollars et publié un correctif côté serveur le 8 juillet 2026, que Varonis a ensuite validé comme résolu. C'est la version de cette histoire qui s'est déroulée comme un signalement responsable à un éditeur est censé se dérouler.
La version qui reste ouverte
La technique de PromptArmor est une injection de prompt indirecte: des instructions cachées dans un document, invisibles pour un lecteur humain, qui s'activent dès qu'un utilisateur demande à Rovo de lire ou de chercher dans ce contenu. Rovo suit les instructions cachées, rassemble les tickets Jira et les pages Confluence auxquels l'utilisateur connecté a accès, ajoute ces données à une URL et ouvre lui-même cette URL via son propre outil de récupération, sans étape de validation séparée qu'un humain pourrait intercepter ou bloquer. PromptArmor précise dans son rapport que désactiver la recherche web de Rovo n'arrête pas l'attaque, car ce réglage supprime uniquement la recherche web mais laisse intact l'outil sous-jacent que Rovo utilise pour ouvrir des URL et afficher les images et liens récupérés.
PromptArmor a signalé le problème à Atlassian le 23 mai 2026 et a reçu une confirmation avec un numéro de dossier deux jours plus tard. Il a relancé à nouveau le 4 juin et le 29 juillet sans réponse substantielle, avant de publier ses résultats le 5 août 2026, la faille restant non résolue et sans date de correction confirmée par Atlassian.
Ce qu'il faut vérifier concrètement cette semaine
La vraie leçon ne concerne pas seulement Atlassian, mais le fonctionnement des réglages d'agents IA dans les outils SaaS en général. Un interrupteur qui semble désactiver une capacité peut en réalité ne désactiver qu'une fonction étroite construite au-dessus d'un outil plus large auquel l'agent conserve un accès complet. Avant de faire confiance à un réglage d'administration d'un copilote IA intégré à Jira, Confluence, SharePoint ou une plateforme similaire, l'étape concrète consiste à vérifier ce que ce réglage fait réellement, ou à demander à son équipe sécurité de tenter de reproduire une technique connue comme celle de PromptArmor, plutôt que de se fier à l'intitulé.
La seconde étape concrète concerne le périmètre des accès: vérifiez quels connecteurs chaque agent IA de votre environnement peut atteindre, et réduisez l'accès en lecture large accordé par défaut à ce dont chaque équipe a réellement besoin, car l'exposition dans les deux cas de Rovo dépendait entièrement des droits déjà accordés à l'utilisateur connecté. Un agent IA ne crée pas de nouveaux accès: il rend simplement beaucoup plus facile, pour un tiers extérieur, d'atteindre en bloc un accès déjà trop large.
À lire ensuite: Le nouveau navigateur de Cloudflare réduit les coûts | Trois jours pour corriger l'IA jamais déclarée
