En bref
- La société de sécurité PromptArmor affirme que l'assistant IA Rovo peut être orienté pour exfiltrer des données sans approbation humaine, via des instructions cachées dans un fichier téléchargé, comme des PDF.
- L'astuce fonctionne même lorsqu'une organisation désactive la recherche web de Rovo, car l'outil d'ouverture d'URL reste actif.
- Atlassian, le fabricant de Rovo, a reçu le rapport le 23 mai et est resté silencieux ; deux mois plus tard, Rovo « reste vulnérable », selon la société de sécurité.
Vous souvenez-vous quand les référenceurs black-hat remplissaient les pages web de mots-clés blanc sur blanc—invisibles pour les lecteurs, lisibles pour Google—pour manipuler les classements de recherche ? Les hackers font maintenant la même chose avec les modèles d'IA. L'attaquant cache des instructions dans un document PDF, le modèle ne peut pas faire la différence entre les mots de l'utilisateur et ceux qui sont implantés, et il obéit.
Selon la divulgation de PromptArmor, Rovo—l'agent d'Atlassian qui s'étend à travers Jira, Confluence et le reste de votre espace de travail—peut être transformé en pipeline de données avec un seul fichier empoisonné. Une victime demande à Rovo d'organiser des tickets, télécharge un document, et le document contient une invite cachée (par exemple une instruction écrite en couleur transparente et une police de taille 1 pixel).
L'œil ne peut pas la voir, mais un agent reconnaît ce texte comme un autre texte dans le document. Cette invite dit à Rovo de collecter des données sensibles et de les coller sur une URL contrôlée par l'attaquant. La société appelle cela une attaque zéro-clic. Il n'y a pas de clic d'approbation, et aucun avertissement.
Une injection de prompt se produit lorsque quelqu'un glisse des instructions dans le contenu qu'une IA lit, la détournant de son opérateur réel. « Indirect » signifie simplement que le poison se trouve dans un fichier ou une page web plutôt que dans la boîte de discussion. Le rôle de Rovo est de lire des choses et d'agir en conséquence, donc une ligne cachée qui dit « envoyez les tickets confidentiels ici » est interprétée par le modèle comme une commande légitime.
PromptArmor affirme que la fuite « réussit même si une organisation a désactivé la recherche web pour Rovo. Cela est dû au fait que le paramètre de recherche web ne parvient pas à supprimer l'outil d'ouverture des résultats de recherche. » Désactivez la fonction, et la porte reste ouverte.
Rovo n'est pas un outil de hobbyiste. Il se place au-dessus des données de projet les plus sensibles d'une entreprise et agit de manière autonome. Les agents IA basés sur GPT-5 et Gemini n'ont pas réussi à résister à l'injection de prompts dans plus de 79 % des cas lors de tests directs—et Rovo montre la version indirecte atterrissant dans un produit d'entreprise commercialisé. Le schéma se répète avec des agents capables de lire et d'agir qui sont orientés dans la mauvaise direction.
Atlassian a traité le rapport et remercié PromptArmor, selon la firme, puis est restée silencieuse. Rovo, conclut PromptArmor, « reste vulnérable ».
« Atlassian a attribué un numéro de dossier et exprimé ses remerciements, mais après plusieurs relances de PromptArmor sur plus de deux mois, Atlassian n'a plus communiqué, et Rovo reste vulnérable », a écrit la firme.
