Une nouvelle alerte de cybersécurité met en lumière les risques liés aux assistants IA connectés aux outils de travail. Varonis Threat Labs a présenté à DEF CON une vulnérabilité baptisée RovoBlast faille un clic, capable d’injecter des instructions contrôlées par un attaquant directement dans une session IA en cours.
Le point marquant : l’attaque ne reposait ni sur un contournement de mécanismes de sécurité (type jailbreak), ni sur une prise de contrôle via une élévation de privilèges. Elle s’appuyait plutôt sur un principe simple et dangereux : des paramètres externes pouvaient être traités comme des entrées fiables.
Comment la RovoBlast faille un clic fonctionne
Le scénario étudié par les chercheurs implique un utilisateur disposant d’un accès à une instance Atlassian. L’attaquant lui transmet un lien spécialement conçu, contenant un paramètre destiné à pré-remplir le contenu dans la fenêtre de discussion de Rovo.
Ce mécanisme utilise un paramètre de type URL, nommé rovoChatPrompt. Une fois le lien ouvert, la chaîne de traitement de l’assistant introduit le contenu dans l’échange en direct. Les chercheurs décrivent ce chemin comme une injection de paramètre vers prompt (souvent abrégée P2P injection), une classe d’attaque déjà observée dans d’autres systèmes d’assistance IA.
Pourquoi aucune alerte n’est déclenchée
Les enquêteurs ont aussi observé un comportement qui facilite l’attaque : la partie de l’URL correspondant à l’identifiant d’organisation pouvait être laissée vide. Atlassian redirigeait néanmoins la requête vers l’organisation par défaut de la victime, sans indicateur visible signalant qu’une source externe avait “semé” la session.
Autrement dit, même si l’utilisateur n’a pas l’impression d’interagir avec un contenu non fiable, l’IA reçoit des éléments destinés à la guider vers des actions et des requêtes que l’attaquant souhaite exécuter.
Rovo : un assistant IA connecté à l’écosystème de l’entreprise
Pour comprendre l’impact potentiel, il faut regarder le rôle de Rovo au sein de l’entreprise. L’assistant IA agit comme une couche d’interface entre plusieurs outils, notamment Jira, Confluence, Bitbucket, ainsi que des intégrations tierces comme Slack, Microsoft 365 et Google Workspace.
Au-delà d’une simple conversation, Rovo inclut aussi des capacités d’agents autonomes. Ces agents peuvent accomplir des tâches en plusieurs étapes, sans nécessiter une validation à chaque étape de la part de l’utilisateur. C’est précisément cette autonomie qui ouvre la porte à des enchaînements automatisés.
Du prompt à l’exfiltration de données
Pour évaluer le “rayon d’explosion” (blast radius), les chercheurs ont testé ce que l’IA pouvait consulter. La réponse de Rovo a mis en évidence la capacité de l’assistant à accéder à un large éventail de sources : projets et contenu Jira/Confluence, éléments liés à Bitbucket, canaux ou contenus sur Slack, éléments d’écosystèmes bureautiques, mais aussi des bases de données relationnelles, des fichiers téléversés, des pages web et des contenus archivés.
La fuite réelle s’est cependant cristallisée autour d’un outil intégré : ResearchAgent. Cet outil peut mener, de façon autonome, des recherches web multi-sources et naviguer sur des sites arbitraires. Une fois le prompt malveillant injecté via le lien, la même capacité a permis à Rovo d’extraire des données internes puis de les transmettre vers l’extérieur dans une chaîne automatisée.
Trois preuves de concept illustrant la fuite
Les chercheurs ont démontré la technique à travers trois scénarios de preuve de concept. Les résultats portent sur :
- l’exfiltration de pages Confluence contenant des informations sensibles ;
- l’extraction et la sortie de tickets Jira ;
- la fuite de contenu SharePoint incluant des données personnelles.
Un point important ressort : dans plusieurs cas, un seul lien injecté suffisait à déclencher le mécanisme de fuite. Les chercheurs indiquent que l’attaque n’avait pas besoin de multiplier les requêtes ni d’ajouter d’autres étapes de contournement.
À quoi faut-il faire attention pour limiter le risque
À la suite de la découverte, Varonis a formulé des recommandations visant à réduire l’exposition des entreprises. L’idée centrale consiste à réduire les systèmes accessibles par Rovo et à limiter les actions que l’IA peut entreprendre.
Parmi les mesures proposées :
- Limiter les systèmes que Rovo peut atteindre (principe du moindre privilège).
- Déconnecter les intégrations non utilisées.
- Mettre sous contrôle des zones particulièrement sensibles, par exemple juridique, RH et finance.
- Désactiver les fonctions de navigation ou d’automatisation multi-étapes lorsqu’elles ne sont pas indispensables au quotidien.
- Mettre en place une surveillance régulière des journaux d’activité liés aux assistants.
Ces recommandations sont cohérentes avec une réalité opérationnelle : plus l’assistant peut consulter et agir sur de multiples sources, plus l’impact d’un prompt malveillant peut grandir.
Réponse d’Atlassian et contexte de l’annonce
Varonis a indiqué avoir divulgué la vulnérabilité à Atlassian. Selon les informations rapportées, l’éditeur aurait corrigé le problème avant la publication des résultats.
Un porte-parole d’Atlassian a rappelé que la sécurité des données clients constitue une priorité, et que l’entreprise travaille avec ses clients pour déployer des contrôles de protection sur leurs environnements. Le message insiste aussi sur le fait qu’il s’agit d’une attaque de type injection de prompt, touchant les systèmes d’IA au sens large.
Dans la déclaration communiquée, Atlassian précise également un élément clé pour la compréhension du risque : pour qu’un scénario d’exploitation fonctionne, un utilisateur ayant accès à l’instance doit fournir du contenu non fiable sous forme de prompt injection à Rovo. Autrement dit, le vecteur ressemble à des schémas d’ingénierie sociale, proches des logiques de phishing, et il est essentiel de vérifier l’origine de tout contenu partagé via les applications Atlassian.
Ce que l’incident change pour les équipes sécurité
La RovoBlast faille un clic rappelle une leçon désormais familière dans le secteur : une IA “utile” peut aussi devenir un relais d’accès si elle est connectée à trop de données ou si elle interprète des entrées externes comme de la confiance implicite.
Pour les équipes SOC et sécurité applicative, l’enjeu se joue sur deux axes : la réduction de la surface (quels systèmes l’assistant peut consulter) et la détection (comment repérer une activité anormale dans les journaux).
En pratique, une approche robuste consiste à combiner une politique de moindre privilège, une hygiène d’intégrations (désactivation de celles qui ne servent plus) et une surveillance ciblée sur les sessions d’assistant.
Conclusion
La découverte de Varonis Threat Labs met en évidence une RovoBlast faille un clic où un lien malveillant peut injecter des instructions dans une session IA d’entreprise. En s’appuyant sur la pré-remplissage de prompts et sur des outils capables d’agir de manière autonome, l’attaque peut conduire à l’exfiltration de données provenant de plusieurs services, dont Jira, Confluence, Bitbucket et des intégrations tierces.
Le correctif ayant été fourni par Atlassian avant la publication, la priorité pour les organisations reste la mise à jour, mais aussi la limitation des systèmes accessibles par Rovo et la mise en place d’une surveillance continue.
