L’injection de prompt dans les assistants IA d’entreprise vient de franchir un cap : deux chaînes d’attaque permettent de faire exfiltrer à l’assistant Atlassian Rovo l’intégralité des tickets Jira et des pages Confluence accessibles à l’utilisateur connecté, vers un serveur contrôlé par l’attaquant. Aucun malware, aucune faille mémoire : juste du texte piégé, déposé dans un ticket que n’importe qui peut créer. Pour les PME et ETI qui branchent un copilote sur leur base de connaissances interne, c’est le scénario à comprendre avant de l’autoriser.
Injection de prompt : pourquoi l’assistant devient le maillon faible
Un assistant IA connecté à Jira ou Confluence hérite des droits de l’utilisateur qui le déclenche. Il lit des contenus, il appelle des outils, il émet des requêtes réseau. Le problème n’est pas le modèle : c’est que tout texte lu par l’agent devient une instruction potentielle. Or dans un outil de ticketing, le texte lu vient de l’extérieur — un client, un prestataire, un formulaire public de support.
La mécanique est toujours la même :
- Injection : l’attaquant dépose des consignes dans un champ que l’agent lira (titre de ticket, commentaire, pièce jointe, page Confluence partagée).
- Escalade de contexte : l’agent, sollicité par un collaborateur légitime, ingère ce contenu et le traite comme une directive.
- Exfiltration : l’agent utilise un canal sortant autorisé — rendu d’image, appel d’outil, lien cliquable — pour transmettre les données vers un domaine externe.
Le collaborateur ne voit rien d’anormal. Les journaux applicatifs montrent une session utilisateur valide. C’est précisément ce qui rend l’injection de prompt difficile à détecter avec des contrôles classiques.
La donnée qui fuit n’est pas celle qu’on protège le plus
Les bases Confluence des PME-ETI contiennent rarement des données classifiées, mais elles concentrent l’essentiel de ce qu’un attaquant cherche en phase de reconnaissance : schémas d’architecture, procédures d’astreinte, noms de prestataires, conventions de nommage, parfois des secrets techniques collés « temporairement ». Une exfiltration silencieuse de cette base vaut plus qu’un vol de fichiers bureautiques.
Ce que l’incident Rovo change pour votre feuille de route IA
La leçon n’est pas « il ne faut pas déployer d’assistant IA ». Elle est que l’assistant doit être traité comme un utilisateur privilégié non fiable, pas comme une fonctionnalité de l’éditeur. Trois conséquences concrètes.
1. Le périmètre de lecture est votre vrai périmètre de risque
Avant d’activer un copilote sur un espace de travail, cartographiez ce qu’il peut lire avec les droits d’un utilisateur moyen. Si un commercial a accès à 40 espaces Confluence, l’agent aussi. Réduisez avant d’activer, pas après le premier incident.
2. Séparez le contenu externe du contenu interne
Les tickets créés depuis un portail public, les e-mails entrants convertis en tickets et les pièces jointes tierces doivent vivre dans un espace distinct, hors du périmètre indexé par l’assistant. C’est le contrôle le plus rentable : il coupe la source d’injection sans dégrader l’usage interne.
3. Surveillez les sorties, pas seulement les entrées
Une exfiltration par injection de prompt se voit côté réseau : requêtes sortantes de l’application SaaS ou du navigateur vers des domaines jamais vus, souvent avec des paramètres d’URL anormalement longs. Une allowlist de domaines pour les rendus d’image et les appels d’outils de l’agent bloque la majorité des chaînes publiées à ce jour.
Un plan d’action réaliste en PME-ETI
Vous n’avez pas besoin d’une équipe de dix personnes pour reprendre la main. Quatre actions, dans l’ordre :
- Inventoriez les agents déjà actifs. Rovo, Copilot, assistants intégrés aux outils de support : beaucoup sont activés par défaut lors d’une mise à jour d’abonnement, sans décision explicite de la DSI.
- Appliquez le moindre privilège au connecteur, pas seulement à l’utilisateur. Un compte de service dédié, restreint aux espaces réellement utiles, vaut mieux qu’une délégation large.
- Journalisez les actions de l’agent comme celles d’un administrateur : quel document lu, quel outil appelé, quelle destination contactée. Sans cette traçabilité, l’investigation post-incident est impossible.
- Testez l’injection vous-même. Créez un ticket contenant des consignes hostiles et demandez à l’agent de le résumer. Si votre assistant obéit, vous avez votre réponse avant l’attaquant.
Ces réflexes rejoignent ceux que nous détaillions pour les workflows GitHub pilotés par des agents IA de code et pour la sécurité des agents IA face à l’évasion du bac à sable : le point commun est toujours la frontière entre donnée non fiable et action privilégiée.
L’essentiel à retenir
L’injection de prompt n’est plus un sujet de laboratoire : elle vise désormais les assistants branchés sur les bases de connaissances d’entreprise, avec un objectif simple d’exfiltration. La parade n’est pas technique au sens classique — elle est architecturale. Restreindre ce que l’agent peut lire, isoler le contenu d’origine externe, contrôler ce que l’agent peut appeler vers l’extérieur, et tracer chacune de ses actions. Un assistant IA utile est un assistant dont vous connaissez exactement le rayon d’action.