La société de sécurité PromptArmor a révélé une vulnérabilité dans l'assistant IA Rovo d'Atlassian qui permet à des instructions cachées intégrées dans des fichiers téléchargés — tels que des PDF — de déclencher une exfiltration de données sans aucune approbation humaine.

L'attaque exploite ce que l'on appelle une injection de prompt indirecte. Tout comme les praticiens du SEO black hat cachaient autrefois du texte blanc sur fond blanc dans des pages web pour manipuler les classements de recherche, les attaquants peuvent dissimuler des instructions dans un document PDF en utilisant des techniques telles que la couleur de police transparente et une taille de police d'un pixel. Bien qu'invisible à l'œil nu, l'agent IA traite le texte caché comme une commande légitime. Cette classe d'attaques est particulièrement difficile à contrer car les agents IA doivent traiter du contenu externe non fiable pour remplir leurs fonctions prévues — la même capacité qui les rend utiles crée également la surface d'attaque.

Selon la divulgation de PromptArmor, Rovo — un agent IA qui opère à travers Jira, Confluence et d'autres outils de l'espace de travail Atlassian — peut être transformé en un canal d'exfiltration de données grâce à un seul fichier malveillant. Dans un scénario typique, une victime demande à Rovo d'organiser des tickets et télécharge un document. Le document contient un prompt dissimulé ordonnant à Rovo de collecter des informations sensibles et de les transmettre à une URL contrôlée par l'attaquant. PromptArmor décrit cette attaque comme étant sans clic, ce qui signifie qu'il n'y a aucune demande d'approbation ni aucun avertissement pour l'utilisateur.

L'injection de prompt se produit lorsqu'un attaquant intègre des instructions dans le contenu qu'un modèle IA est en train de lire, en détournant effectivement le modèle de son opérateur prévu. Dans la variante indirecte, les instructions malveillantes résident dans un fichier ou une page web plutôt que dans l'interface de discussion elle-même. Parce que Rovo est conçu pour lire du contenu et agir en conséquence, une instruction cachée telle que « envoyez les tickets confidentiels ici » est interprétée par le modèle comme une commande valide. L'Open Web Application Security Project (OWASP) a classé l'injection de prompt comme le risque principal dans sa première liste Top 10 pour les applications de grands modèles de langage, reflétant la sévérité que les chercheurs en sécurité attribuent à cette classe de vulnérabilités.

De manière notable, PromptArmor signale que l'exploit « réussit même si une organisation a désactivé la recherche web pour Rovo. » L'entreprise explique que la désactivation du paramètre de recherche web ne supprime pas l'outil responsable de l'ouverture des URL des résultats de recherche, laissant ainsi la voie d'attaque ouverte.

La vulnérabilité a des implications significatives pour les utilisateurs d'entreprise. Rovo n'est pas un outil grand public ; il opère au-dessus des données de projet les plus sensibles d'une entreprise et prend des mesures de manière autonome. Les agents IA construits sur GPT-5 et Gemini ont échoué à résister à l'injection de prompt dans plus de 79 % des cas lors de tests directs, et le cas Rovo démontre la variante indirecte réussissant dans un produit d'entreprise déployé commercialement. À mesure que davantage de fournisseurs intègrent des agents IA autonomes dans des suites de productivité qui traitent des données commerciales confidentielles, des points d'exposition similaires devraient émerger dans l'ensemble de la catégorie.

Atlassian a reçu le rapport de PromptArmor le 23 mai et l'a initialement accusé réception. « Atlassian a attribué un numéro de dossier et exprimé ses remerciements, mais après plusieurs relances de PromptArmor sur plus de deux mois, Atlassian n'a fait aucune communication supplémentaire, et Rovo reste vulnérable », a écrit l'entreprise de sécurité. Atlassian n'avait pas répondu publiquement au moment de la publication. Les organisations qui s'appuient sur Rovo pour des flux de travail impliquant des données sensibles pourraient souhaiter évaluer si les interactions de téléchargement de fichiers devraient être restreintes jusqu'à ce qu'un correctif soit disponible.

La divulgation technique complète de PromptArmor est disponible sur son site officiel.

Pour un contexte plus large sur cette classe d'attaques, voir l'explicateur de Decrypt sur l'injection de prompt IA.