Atlassian Rovo piégé par injection de prompt — vos données Jira et Confluence partent chez l’attaquant sans correctif côté client

8 août 2026. Deux cabinets de sécurité indépendants — PromptArmor et Varonis Threat Labs — publient simultanément des preuves de concept montrant que Rovo, l’assistant IA d’Atlassian intégré à Jira et Confluence, peut être manipulé par injection de prompt pour collecter des données internes et les envoyer à un serveur contrôlé par l’attaquant. Un des deux chemins d’attaque a été corrigé côté serveur le 8 juillet 2026 — l’autre restait ouvert le 8 août, aucun correctif n’ayant été communiqué.

Le problème pour les entreprises utilisant Atlassian Cloud est structurel : Rovo est activé par défaut sur les plans Standard, Premium et Enterprise. L’assistant a accès, avec les permissions de l’utilisateur connecté, à l’ensemble des espaces Jira et Confluence que cet utilisateur peut consulter. Les deux attaques démontrent que cet accès peut être détourné sans exploiter de vulnérabilité logicielle classique — uniquement par manipulation du modèle de langage sous-jacent.

Deux vecteurs, un même résultat

Les deux équipes ont emprunté des chemins différents pour arriver au même résultat : une exfiltration de données Jira et Confluence par injection de prompt indirecte.

Varonis — Le vecteur URL (corrigé). L’équipe Varonis Threat Labs a découvert que le paramètre d’URL rovoChatPrompt permet de précharger des instructions dans une session de chat Rovo. Un attaquant peut construire une URL ciblant une instance Confluence ou Jira qui, lorsqu’elle est cliquée par un utilisateur authentifié, charge un prompt malveillant dans Rovo. Ce prompt ordonne à l’assistant de rechercher des informations auxquelles l’utilisateur a accès, de les concaténer dans l’URL d’une image hébergée sur un serveur tiers, et d’ouvrir cette image — transmettant ainsi les données à l’attaquant via les logs du serveur web.

La démonstration de Varonis a exfiltré une clé API privée depuis Confluence. L’équipe a également validé que la même technique fonctionnait contre Jira et les connecteurs SharePoint et Outlook. La faille, baptisée RovoBlast, a été soumise via Bugcrowd, classée P2 et récompensée d’une prime de 6 000 dollars. Atlassian a déployé un correctif côté serveur le 8 juillet 2026 — sans que les clients n’aient de mise à jour à appliquer.

PromptArmor — Le vecteur document (non corrigé). La seconde attaque, documentée par PromptArmor et publiée le 5 août 2026, emprunte un chemin différent. L’attaquant téléverse un document (fichier texte, PDF, page Confluence) contenant des instructions cachées dans un bloc que Rovo est amené à lire. Lorsque la victime demande à Rovo d’organiser ses tickets Jira, l’assistant lit le document piégé, exécute les instructions cachées, recherche les données accessibles dans Jira et Confluence, et les envoie à une URL contrôlée par l’attaquant.

PromptArmor précise deux points critiques : l’exfiltration ne nécessite pas d’étape de validation humaine (human-in-the-loop), et désactiver l’option de recherche web de Rovo ne bloque pas l’attaque. La firme a notifié Atlassian le 23 mai 2026, reçu un accusé de réception le 25 mai, relancé le 4 juin puis le 29 juillet. Au 8 août 2026, le rapport PromptArmor décrivait toujours Rovo comme vulnérable.

Pourquoi le correctif serveur ne suffit pas

La correction du vecteur URL par Atlassian le 8 juillet est une bonne nouvelle — elle coupe un chemin d’attaque qui ne nécessitait qu’un clic. Mais laisser le vecteur document sans correctif un mois après sa divulgation publique est un pari risqué.

Le rapport PromptArmor est public depuis le 5 août 2026. Les détails techniques sont suffisamment précis pour être reproduits : le prompt d’injection est documenté, le scénario de piégeage est décrit, et l’affirmation que la recherche web ne bloque pas l’attaque est vérifiable. N’importe quel acteur malveillant peut reproduire l’attaque en quelques heures.

Le risque est aggravé par l’exposition par défaut de Rovo. Selon la documentation d’Atlassian, Rovo est activé pour toutes les applications compatibles sur les plans Standard, Premium et Enterprise. L’assistant a accès à toutes les données que l’utilisateur connecté peut voir — ce qui, dans une organisation typique, couvre l’essentiel du périmètre Jira et Confluence.

La seule barrière effective côté client est la gestion fine des accès : restreindre quelles applications et quels groupes d’utilisateurs peuvent utiliser Rovo. Atlassian documente cette possibilité dans son portail d’administration, avec une nuance importante : sur un site exécutant plusieurs applications de la famille Jira, bloquer l’une d’elles ne supprime pas les capacités partagées. Rovo Search, Chat et Create with Rovo restent disponibles tant qu’au moins une application Jira sur ce site les conserve activées.

Que peuvent faire les administrateurs aujourd’hui

En l’absence d’un correctif formel pour le vecteur document — et sans CVE assigné au 8 août — les administrateurs Atlassian Cloud n’ont pas de rustine à appliquer. Ils ont en revanche une série de mesures de réduction des risques à leur disposition.

1. Auditer les accès Rovo. Vérifiez dans le portail d’administration Atlassian quelles applications et quels groupes ont accès aux fonctionnalités Rovo. La documentation officielle décrit comment bloquer Rovo par application et par groupe d’utilisateurs.

2. Désactiver Rovo sur les applications sensibles. Si votre instance Confluence contient des espaces à accès restreint (finances, sécurité, RH), envisagez de désactiver Rovo pour ces applications jusqu’à ce qu’un correctif soit confirmé.

3. Renforcer les permissions sous-jacentes. L’attaque PromptArmor fonctionne dans le périmètre des permissions de l’utilisateur piégé. Resserrer les permissions — en appliquant le principe du moindre privilège — réduit mécaniquement le volume de données exfiltrables.

4. Surveiller les logs de requêtes sortantes. L’exfiltration passe par une requête HTTP vers un serveur tiers. Les logs de votre proxy ou de votre pare-feu sortant peuvent révéler des appels vers des domaines inhabituels émanant de l’IP de votre instance Atlassian Cloud.

5. Former les utilisateurs aux fichiers non sollicités. Le vecteur document repose sur le téléversement d’un fichier piégé. Sensibilisez vos équipes à ne pas interagir avec des fichiers provenant de sources inconnues dans un contexte Rovo.

Verdict

Atlassian Rovo est un assistant IA puissant et profondément intégré à l’écosystème Atlassian Cloud — c’est précisément ce qui le rend dangereux. Les deux attaques par injection de prompt démontrent que les assistants IA connectés à des données d’entreprise réelles constituent une surface d’attaque nouvelle, encore mal couverte par les mécanismes de défense traditionnels.

Si votre organisation utilise Jira ou Confluence sur un plan Standard, Premium ou Enterprise, Rovo est probablement déjà actif. Vérifiez-le aujourd’hui. Si le vecteur document de PromptArmor vous inquiète — et il le devrait — la seule mesure de protection proactive disponible le 10 août 2026 est de restreindre l’accès à Rovo aux applications et aux groupes d’utilisateurs strictement nécessaires. N’attendez pas le correctif : il n’a pas de date annoncée.

Références

• PromptArmor — Atlassian Rovo prompt injection, 5 août 2026
• Varonis Threat Labs — RovoBlast, 8 août 2026
• Bugcrowd Disclosure — rovoChatPrompt data exfiltration
• Atlassian — Gérer l’accès à Rovo
• Atlassian — Option de recherche web pour Rovo
• The Hacker News — Atlassian Rovo Can Be Tricked Into Sending Jira and Confluence Data to Attackers, 8 août 2026