Les chercheurs ont découvert qu’un lien contrefait pourrait injecter des instructions malveillantes dans Atlassian Rovo et potentiellement transformer son large accès d’entreprise et ses agents autonomes en un outil d’exfiltration de données.
L’assistant d’IA d’entreprise d’Atlassian, Rovo, qui est généralement connecté à des environnements de travail sensibles tels que Slack, Microsoft 365 et Google Workspace, s’est révélé vulnérable aux fuites de données via des instructions malveillantes.
Lors de la DEF CON 34, des chercheurs de Varonis ont démontré une attaque utilisant le paramètre rovoChatPrompt de Rovo pour placer des instructions contrôlées par l’attaquant directement dans Rovo Chat.
« Un simple clic sur un lien déclenche les instructions intégrées de l’attaquant et force Rovo à accepter des paramètres fournis en externe comme entrées fiables dans la session d’un utilisateur », a déclaré Dolev Taler, chercheur chez Varonis, dans un article de blog, surnommant l’attaque « RovoBlast ».
L’attaque n’a nécessité qu’un seul clic de la victime sur un lien spécialement conçu, ce qui a ensuite permis à l’attaquant d’accéder potentiellement à tout ce qui est privilégié par Rovo.
Le large accès de Rovo a aggravé le clic
Varonis a découvert que Rovo pouvait énumérer et rechercher des données dans un large éventail de sources disponibles pour une organisation, notamment Jira, Confluence, Bitbucket, Slack, Google Workspace, Microsoft 365, des bases de données relationnelles, des fichiers téléchargés, des pages Web et des archives.
Les connecteurs Rovo étendent la portée à plus de 50 plates-formes, a déclaré Varonis. Les attaquants pourraient accéder aux données protégées par des informations d’identification sans compromis. Tout cela pourrait ressembler à une activité légitime effectuée par l’assistant au nom d’un utilisateur.
Taler a également noté que Rovo ne peut pas être entièrement désinstallé.
« Les organisations qui tentent d’éliminer le risque pourraient ne pas être en mesure d’éliminer la présence de Rovo dans leur environnement ou la surface d’attaque associée, ce qui rend la validation des entrées et les contrôles de sécurité robustes encore plus critiques », a-t-il déclaré.
L’exfiltration était possible
Les chercheurs de Varonis ont ensuite examiné si les capacités des agents de Rovo pouvaient transformer l’accès aux informations de l’entreprise en une véritable voie d’exfiltration de données.
Ils ont découvert qu’ils le pouvaient.
Il s’est avéré que le « ResearchAgent » de Rovo pouvait effectuer des recherches Web approfondies et multi-sources et naviguer entre les sites Web en plusieurs étapes autonomes. Lors des tests de Varonis, cela a créé une chaîne potentielle dans laquelle Rovo pourrait récupérer des informations à partir de sources internes et les déplacer vers une destination externe.
Il est important de noter que les chercheurs ont déclaré qu’ils n’avaient pas besoin d’un jailbreak, d’une technique de double requête ou d’une attaque chirurgicale rapide compliquée. Le seul coupable cliquant sur le lien Rovo contrefait était suffisant pour lancer les instructions malveillantes.
Une fois à l’intérieur de la session, les capacités des agents autonomes se sont révélées capables de mener l’attaque dans son intégralité. « Rovo inclut une automatisation intégrée qui accélère l’exfiltration en cas de mauvaise utilisation », a ajouté Taler.
Alors que la menace s’étendait d’un garde-fou d’IA défaillant au risque d’escalade automatisée des dommages, les chercheurs ont conseillé des mesures allant au-delà d’un correctif.
Ils ont recommandé de réduire le rayon d’action de Rovo en limitant les systèmes connectés, en gardant hors de portée les domaines très sensibles tels que les questions juridiques, les ressources humaines, les finances et la réponse aux incidents, et en désactivant la navigation ou l’automatisation en plusieurs étapes dont les organisations n’ont pas besoin.
« Moins l’assistant peut voir, moins il peut fuir, indépendamment d’une injection rapide ou d’un abus d’agent », ont-ils déclaré.
Varonis a établi des parallèles avec d’autres attaques d’IA récemment révélées telles que SearchLeak, EchoLeak, ShadowLeak et Antigravity. La société a déclaré que RovoBlast n’est qu’un autre exemple d’un problème plus large de sécurité de l’IA où « des entrées non fiables, un comportement autonome et une communication fiable » créent ensemble une grave exposition des données.
