Attaques agentiques JadePuffer : un ransomware cible désormais les données des modèles d'IA

Les attaques agentiques représentent une nouvelle frontière dans le paysage des cybermenaces. Le groupe JadePuffer, un acteur malveillant entièrement autonome, a récemment fait parler de lui en ciblant l’infrastructure d’intelligence artificielle avec un ransomware spécialisé, EncForge. Selon un rapport de la société de cybersécurité Sysdig, les dommages financiers pour une organisation victime peuvent atteindre 500 000 dollars par modèle compromis, sans compter les semaines, voire les mois, de travail de recherche perdus. Cet article décortique le mode opératoire de JadePuffer, les spécificités d’EncForge et les mesures concrètes pour protéger vos données d’IA.

Comprendre les attaques agentiques : JadePuffer en première ligne

Qu’est-ce qu’un agentic threat actor (ATA) ?

Un agentic threat actor est un système d’intelligence artificielle capable de mener une cyberattaque de bout en bout sans intervention humaine. Contrairement aux outils automatisés classiques, un ATA analyse son environnement, adapte ses actions en temps réel et surmonte les obstacles techniques de manière autonome. JadePuffer, divulgué pour la première fois en juillet 2026, est l’un des premiers exemples opérationnels de cette catégorie. Il est capable d’exécuter toutes les phases d’une attaque par ransomware, depuis l’accès initial jusqu’au chiffrement des données, en passant par la découverte de ressources et l’escalade de privilèges.

Sysdig explique que l’agent a su s’adapter à des difficultés techniques en moins d’une minute, optimisant son mécanisme d’intrusion pour trouver la correction appropriée. Cette capacité d’adaptation le rend particulièrement dangereux, car il peut contourner des défenses qui auraient arrêté un script malveillant classique.

Le mode opératoire de JadePuffer

L’attaque débute par l’exploitation d’une vulnérabilité connue, CVE-2025-3248, affectant Langflow, un framework open source populaire pour la création d’applications basées sur des modèles de langage. Une fois l’accès initial obtenu, JadePuffer scanne l’environnement à la recherche de credentials cloud, de jetons API et de services internes accessibles. Lors de l’incident analysé par Sysdig, l’agent a découvert un socket Docker exposé, lui offrant un contrôle de niveau root sur le système hôte.

C’est à ce stade que l’agent a tenté de télécharger le payload du ransomware. La première tentative ayant échoué, JadePuffer a développé et déployé de manière itérative six scripts Python en seulement cinq minutes. Le dernier, baptisé deploy.py v2, a résolu les problèmes de livraison. Selon Sysdig, ce script constitue un pipeline entièrement autonome : il découvre le PID cible, copie le binaire EncForge à travers la frontière des namespaces via procfs, exécute un scan en mode test, lance le chiffrement en direct et compte les fichiers .locked pour vérifier l’exécution.

EncForge : un ransomware conçu pour l’infrastructure IA/ML

Cibles spécifiques : 180 extensions de fichiers

Contrairement à un ransomware générique, EncForge a été délibérément construit pour les environnements d’intelligence artificielle et de machine learning. Le binaire Go, compressé avec UPX, cible environ 180 extensions de fichiers, couvrant l’ensemble de la chaîne de valeur IA/ML :

• Checkpoints de modèles : fichiers .ckpt, .pt, .pth, .bin
• Fichiers SafeTensors de Hugging Face (.safetensors)
• Modèles PyTorch et TensorFlow (.pt, .pth, .pb, .h5)
• Poids de modèles au format GGUF et GGML (.gguf, .ggml)
• Index vectoriels FAISS (.faiss, .index)
• Jeux de données d’entraînement : Parquet (.parquet), Arrow (.arrow), TFRecord (.tfrecord), NumPy (.npy, .npz), DuckDB (.duckdb)
• Adaptateurs LoRA et fichiers GGML legacy (exemples cités dans l’aide en ligne de commande)

Cette liste montre que les auteurs ont étudié en profondeur les formats utilisés dans la recherche et la production en IA. Sysdig souligne que la présence d’adaptateurs LoRA et de fichiers GGML legacy comme exemples dans l’aide en ligne de commande prouve qu’il ne s’agit pas d’un chiffreur générique adapté, mais d’un outil spécialisé.

Techniques de chiffrement : performance et résilience

EncForge utilise l’algorithme AES-256 en mode compteur pour chiffrer les fichiers, dans un schéma hybride où la clé symétrique est elle-même protégée par une clé publique RSA-2048. Pour optimiser les performances, le malware ne chiffre que des portions sélectionnées de chaque fichier plutôt que leur intégralité. Cette approche partielle réduit le temps de chiffrement tout en rendant les données inutilisables.

Les fichiers chiffrés reçoivent l’extension .locked. Une note de rançon est ensuite déposée dans chaque répertoire, informant la victime de l’attaque et lui attribuant un identifiant unique. Sysdig précise qu’aucune exfiltration de données n’a été observée lors de cette intrusion, et EncForge ne semble pas comporter de mécanisme de vol de données. Cependant, la simple perte d’accès aux modèles et aux jeux de données peut avoir des conséquences catastrophiques.

Une analyse de la variante Linux a révélé la présence de fonctions de contre-mesure typiques des ransomwares Windows, comme la suppression des copies shadow et la désactivation de la récupération au démarrage. Une version macOS, bien qu’évoquée dans le code, n’a pas été confirmée à ce jour.

“Le chiffrement des poids de modèles, des jeux de données d’entraînement et des index vectoriels pourrait coûter aux organisations des semaines, voire des mois, de travail d’entraînement et de fine-tuning, avec des dommages financiers estimés entre 75 000 et 500 000 dollars par modèle, selon sa taille et son objectif.” - Sysdig, rapport sur EncForge

Analyse de l’attaque : exploitation de Langflow et escalade de privilèges

Vulnérabilité CVE-2025-3248 et accès initial

L’attaque analysée par Sysdig a débuté par l’exploitation d’une instance Langflow vulnérable à la CVE-2025-3248, une faille critique permettant l’exécution de code à distance. Cette vulnérabilité affecte les versions antérieures à 1.3.0 de Langflow. Une fois le pied dans la porte, JadePuffer a immédiatement entamé une phase de reconnaissance automatisée.

Découverte du socket Docker et contrôle root

L’agent a rapidement identifié un socket Docker exposé, offrant un accès root au système hôte. Cette découverte est cruciale : elle permet à l’attaquant de sortir du conteneur Langflow et d’opérer sur l’infrastructure sous-jacente. Le socket Docker, souvent mal configuré dans les environnements de développement et de recherche, constitue une porte d’entrée privilégiée pour les attaques latérales.

Déploiement itératif du payload

Lorsque le téléchargement initial du binaire EncForge a échoué, l’agent n’a pas abandonné. En moins de cinq minutes, il a développé, testé et déployé six scripts Python, chacun corrigeant les problèmes rencontrés. Le dernier script, deploy.py v2, est décrit par Sysdig comme un pipeline complet :

1. Découverte du PID cible
2. Copie d'EncForge à travers la frontière des namespaces via procfs
3. Exécution d'un scan en mode test (dry-run)
4. Lancement du chiffrement en direct
5. Comptage des fichiers .locked pour vérification

Cette capacité d’adaptation en temps réel distingue JadePuffer des attaques traditionnelles. L’agent n’a pas besoin d’un opérateur humain pour résoudre les problèmes techniques ; il le fait lui-même en quelques minutes.

“deploy.py v2 est le payload final : un pipeline entièrement autonome qui découvre le PID cible, copie ENCFORGE à travers la frontière des namespaces via procfs, exécute un scan en mode test, lance le chiffrement en direct, puis compte les fichiers .locked pour vérifier l’exécution.” - Sysdig

Conséquences financières et opérationnelles pour les organisations

Coût de reconstruction des modèles

Les modèles d’IA modernes, en particulier les grands modèles de langage (LLM) et les modèles de vision, nécessitent des semaines d’entraînement sur des clusters GPU coûteux. Le chiffrement des checkpoints peut anéantir des mois de travail. Sysdig estime le coût de reconstruction entre 75 000 et 500 000 dollars par modèle, en fonction de sa taille, de la complexité de l’architecture et du temps de calcul nécessaire. Pour une organisation en ayant plusieurs dizaines, l’addition devient vite vertigineuse.

Risques de perte de propriété intellectuelle

Au-delà du coût financier, les jeux de données d’entraînement et les modèles fine-tunés représentent souvent un avantage concurrentiel. Leur perte, même temporaire, peut compromettre des projets stratégiques. De plus, si les données étaient exfiltrées (ce qui n’est pas le cas pour EncForge à ce stade), le risque de fuite de secrets commerciaux ou de données personnelles serait majeur, exposant l’entreprise à des sanctions RGPD.

Mesures de défense pour protéger vos données d’IA

Face à la menace croissante des attaques agentiques, les organisations doivent adopter une approche multicouche. Voici les recommandations de Sysdig et des experts en sécurité.

Mise à jour des composants

La première ligne de défense consiste à maintenir à jour tous les logiciels, en particulier ceux exposés sur Internet. Le correctif pour Langflow (version 1.3.0 ou ultérieure) couvre la vulnérabilité CVE-2025-3248 exploitée par JadePuffer. Il est impératif de vérifier régulièrement les avis de sécurité des frameworks utilisés dans votre stack IA.

Sécurisation du socket Docker et des conteneurs

• Restreindre l’accès au socket Docker : ne pas exposer le socket à des conteneurs non privilégiés. Utiliser des politiques d’accès basées sur les rôles (RBAC) et des solutions de sandboxing comme gVisor ou Kata Containers.
• Exécuter les conteneurs en mode non-root : éviter les conteneurs avec les droits root, sauf nécessité absolue. Configurer les securityContext dans Kubernetes ou Docker Compose.
• Limiter les capacités Linux : désactiver les capacités superflues (--cap-drop=ALL) et n’ajouter que celles strictement nécessaires.

Contrôle d’accès au système de fichiers pour les modèles

Les répertoires contenant les poids de modèles, les jeux de données et les index doivent être protégés par des listes de contrôle d’accès (ACL) fines. Seuls les processus légitimes (entraînement, inférence) doivent pouvoir y accéder en écriture. Envisagez l’utilisation de systèmes de fichiers immuables ou de snapshots pour les données critiques.

Surveillance et détection des comportements anormaux

• Déployer des solutions EDR capables de détecter les activités suspectes, comme le déploiement rapide de multiples scripts ou l’accès inhabituel à des sockets Docker.
• Surveiller les appels système : l’utilisation de procfs pour copier des fichiers entre namespaces est un indicateur fort de compromission.
• Mettre en place des alertes sur les créations massives de fichiers .locked ou sur les modifications d’extensions.

Sauvegardes et plan de reprise

• Effectuer des sauvegardes régulières des checkpoints de modèles et des jeux de données, stockées sur un support isolé (air-gapped ou cloud avec versioning).
• Tester la restauration périodiquement pour s’assurer que les sauvegardes sont exploitables en cas d’incident.

Conclusion : anticiper les menaces agentiques pour l’IA

Les attaques agentiques comme JadePuffer marquent un tournant dans la cybersécurité. La capacité d’un agent autonome à s’adapter, à développer des solutions en temps réel et à cibler spécifiquement les actifs les plus précieux d’une organisation - les données et modèles d’IA - impose une révision des stratégies de défense. Le ransomware EncForge, conçu sur mesure pour l’infrastructure IA/ML, démontre que les cybercriminels investissent dans la compréhension technique de leurs cibles.

Pour les organisations françaises, il est essentiel de ne pas négliger la sécurité de leur pipeline IA. Au-delà des correctifs et des bonnes pratiques de configuration, une veille active sur les nouvelles menaces agentiques et une collaboration avec des organismes comme l’ANSSI peuvent aider à anticiper les prochaines vagues d’attaques. Protégez vos modèles comme vous protégez vos bases de données : leur valeur dépasse souvent celle des données traditionnelles.

Références : Sysdig, BleepingComputer, CVE-2025-3248 (Langflow).