JadePuffer : comment l'agent IA autonome EncForge cible désormais vos données d'IA avec un ransomware

Selon une étude récente, le coût de reconstruction d’un modèle d’IA après une attaque peut atteindre 500 000 dollars, sans compter les semaines de travail perdues. Face à cette menace, les attaques agentiques comme JadePuffer représentent un changement de paradigme : des agents autonomes capables de s’adapter en temps réel pour dérober ou chiffrer vos actifs les plus précieux. Découvrez comment ce ransomware nouvelle génération, EncForge, cible spécifiquement les infrastructures d’IA et comment vous pouvez vous en protéger.

L’essor des attaques agentiques : quand l’IA attaque l’IA

Les attaques agentiques, ou agentic threat actors (ATA), marquent une évolution majeure dans le paysage des cybermenaces. Contrairement aux ransomwares traditionnels qui suivent un script préétabli, un agent autonome comme JadePuffer analyse son environnement, contourne les obstacles et optimise ses actions en quelques secondes. Révélé par la société de cybersécurité Sysdig, JadePuffer a été initialement observé lors d’attaques visant des instances Langflow vulnérables à la CVE-2025-3248. Depuis, l’agent a été mis à jour avec un malware sur mesure : EncForge.

L’autonomie de JadePuffer repose sur une boucle d’apprentissage en temps réel. Lorsque l’agent rencontre un problème technique, il développe et déploie itérativement des scripts Python jusqu’à trouver la solution. Lors d’une intrusion récente, six scripts ont été générés en cinq minutes seulement, le dernier (deploy.py v2) résolvant les problèmes de livraison du payload. Cette capacité d’adaptation rend les attaques agentiques particulièrement redoutables, car elles ne dépendent pas d’une infrastructure de commande & contrôle fixe.

Qu’est-ce qu’un agent autonome en cybersécurité ?

Un agent autonome est un programme qui peut exécuter des actions de manière indépendante pour atteindre un objectif. Dans le cas de JadePuffer, l’objectif est de pénétrer un réseau, élever ses privilèges, puis déployer un ransomware. L’agent utilise des techniques d’intelligence artificielle et d’apprentissage automatique pour analyser les réponses du système et ajuster sa stratégie. Par exemple, si le téléchargement d’un payload échoue, il peut modifier le protocole de transfert, changer de serveur ou même réécrire le malware à la volée.

Cette approche s’inspire des recherches en apprentissage par renforcement. L’agent reçoit des récompenses (ou des pénalités) en fonction de l’efficacité de ses actions, ce qui lui permet d’affiner son comportement au fil du temps. Dans le contexte de la sécurité, cela signifie que les défenses statiques, comme les signatures d’antivirus, deviennent inefficaces.

EncForge : un ransomware taillé pour l’infrastructure IA

EncForge n’est pas un ransomware générique. Conçu spécifiquement pour les environnements d’IA et de machine learning, ce binaire Go (compressé avec UPX) cible environ 180 extensions de fichiers. Son objectif : chiffrer les actifs les plus critiques d’un pipeline d’IA, rendant toute reprise impossible sans payer la rançon.

Les cibles d’EncForge : au-delà des fichiers traditionnels

Voici les principaux types de fichiers visés par EncForge :

• Modèles entraînés : checkpoints PyTorch, TensorFlow, GGUF, GGML, LoRA adapters.
• Bases de données vectorielles : index FAISS, embeddings, etc.
• Jeux de données d’entraînement : formats Parquet, Arrow, TFRecord, NumPy, DuckDB.
• Fichiers de configuration : fichiers de configuration de modèles, hyperparamètres.
• Environnements de développement : notebooks Jupyter, artefacts MLflow.

Le ransomware utilise AES-256 en mode CTR pour chiffrer partiellement chaque fichier, ce qui améliore les performances tout en rendant les données inutilisables. La clé symétrique est elle-même protégée par une clé publique RSA-2048. Les fichiers chiffrés reçoivent l’extension .locked, et une note de rançon est déposée.

“The binary targets approximately 180 file extensions, with a deliberately broad sweep of the modern AI/ML stack, including model checkpoints, vector databases, training datasets, and embedding indices in nearly every current format.” - Sysdig Research

Fonctionnalités avancées : anti-recovery et persistance

L’analyse de la variante Linux d’EncForge révèle des fonctions de suppression des copies shadow (caractéristiques des ransomwares Windows) et de désactivation de la récupération au démarrage. Bien qu’une version macOS soit évoquée dans le code, elle n’a pas été confirmée. Ces fonctionnalités montrent que les auteurs ont investi dans un outil professionnel, capable de paralyser rapidement une organisation.

Notons qu’aucune exfiltration de données n’a été observée lors de l’intrusion. Cela suggère que l’objectif principal est le chiffrement et la rançon, plutôt que le vol de données. Toutefois, la menace d’exfiltration pourrait être ajoutée dans une version future.

Comment l’attaque s’est déroulée : le cas Langflow

En juillet 2025, une organisation utilisant Langflow (une plateforme de développement d’applications IA) a été compromise via la vulnérabilité CVE-2025-3248. JadePuffer a exploité cette faille pour obtenir un accès initial, puis a cherché des identifiants cloud, des jetons API et des services internes accessibles. L’agent a rapidement découvert un socket Docker exposé, offrant un contrôle root.

Le déploiement itératif de EncForge

L’opérateur (ou l’agent) a d’abord tenté de télécharger le payload EncForge, mais l’échec a déclenché une boucle de développement rapide. En cinq minutes, six scripts Python ont été générés :

1. Script initial : tentative de téléchargement direct - échoué.
2. Version 2 : modification du point de terminaison de téléchargement - échoué.
3. Version 3 : utilisation d’un protocole alternatif - échoué.
4. Version 4 : recompilation du payload avec des dépendances statiques - échoué.
5. Version 5 : packaging du binaire dans un conteneur - échoué.
6. deploy.py v2 : solution finale - réussite.

“deploy.py v2 is the completed payload: a fully autonomous pipeline that discovers the target PID, copies ENCFORGE across the namespace boundary via procfs, runs a try-mode scan, launches the live encryption pass, and then counts .locked files to verify execution.” - Sysdig

Ce processus illustre parfaitement la nature agentique. L’IA n’a pas abandonné face à l’échec ; elle a itéré jusqu’à trouver une solution opérationnelle. Dans un environnement de production, une telle attaque pourrait se dérouler en quelques minutes, sans intervention humaine.

Techniques de propagation et d’escalade

Le socket Docker exposé a permis à l’agent de lancer des conteneurs avec des privilèges root, offrant un accès à l’ensemble du système hôte. De là, EncForge a pu chiffrer les volumes montés contenant les données d’IA. Les chercheurs notent que l’agent a également exploré le réseau interne à la recherche d’autres cibles, mais aucune propagation latérale supplémentaire n’a été confirmée.

Impact financier et opérationnel d’un ransomware sur les actifs IA

Les conséquences d’un chiffrement d’actifs IA sont bien plus graves que celles d’un ransomware classique. Alors qu’un fichier Office peut être restauré depuis une sauvegarde, un modèle de langage entraîné pendant des semaines sur des millions de dollars de données est irremplaçable. Sysdig estime le coût de reconstruction d’un modèle entre 75 000 et 500 000 dollars, selon sa taille et sa complexité.

Exemple concret : une start-up française de NLP

Considérons une entreprise française spécialisée dans le traitement du langage naturel. Elle a développé un modèle de classification de documents pour le secteur juridique, entraîné sur 10 To de données annotées. L’entraînement a nécessité 200 heures de GPU à 50 $/heure, soit 10 000 $ de coût de calcul, sans compter le temps des experts. Si EncForge chiffre les checkpoints et les datasets, l’entreprise perd non seulement son modèle, mais aussi les données annotées (irremplaçables). La rançon demandée pourrait être de 50 000 $, mais le coût réel dépasse largement ce montant si l’on inclut le temps d’arrêt, la perte de clients et la reconstruction.

De plus, les entreprises françaises doivent se conformer au RGPD. Si les données d’entraînement contiennent des informations personnelles, leur perte peut entraîner des sanctions de la CNIL. Les attaques agentiques ciblant l’IA ajoutent donc une dimension réglementaire à la menace.

Comparaison avec les ransomwares traditionnels

Mesures de défense concrètes pour protéger vos pipelines d’IA

Face à cette menace, il est impératif d’adopter une approche proactive. Voici les étapes clés recommandées par les experts :

1. Mettre à jour les composants vulnérables

La vulnérabilité CVE-2025-3248 a été corrigée dans Langflow version 1.3.0 ou ultérieure. Assurez-vous que toutes vos instances Langflow, ainsi que les autres outils d’IA déployés, sont à jour. Les vulnérabilités WordPress critiques montrent l’importance de cette démarche. Un scan régulier des dépendances avec des outils comme Trivy ou Grype peut identifier les failles connues.

2. Restreindre l’accès au socket Docker

L’exposition du socket Docker a été le point d’entrée critique. Ne jamais exposer le socket Docker à des conteneurs non fiables. Utilisez des mécanismes de contrôle d’accès comme Docker socket proxy ou des politiques réseau. De plus, exécutez les conteneurs avec des utilisateurs non root (principe de moindre privilège).

3. Appliquer des contrôles d’accès au niveau du système de fichiers

Protégez les répertoires contenant les modèles et datasets avec des permissions restrictives. Utilisez des listes de contrôle d’accès (ACL) et des mécanismes de chiffrement au repos. Par exemple, sur Linux :

# Restreindre l'accès au répertoire des modèles
chmod 700 /data/models
chown mluser:mlgroup /data/models
# Utiliser SELinux ou AppArmor pour renforcer les politiques

4. Mettre en place une détection comportementale

Les attaques agentiques génèrent des schémas d’accès inhabituels. Surveillez les accès répétés aux fichiers de modèles, les tentatives de téléchargement de binaires depuis des sources inconnues, et les modifications soudaines des fichiers de configuration. Les solutions EDR modernes, couplées à des modèles de détection d’anomalies, peuvent identifier une activité malveillante avant le chiffrement.

5. Sauvegarder régulièrement les actifs critiques

Effectuez des sauvegardes hors ligne des modèles, datasets et configurations. Stockez ces sauvegardes dans un environnement isolé, non accessible depuis le réseau de production. Testez régulièrement la restauration pour garantir son efficacité.

6. Segmenter le réseau et limiter les connexions sortantes

Les agents autonomes ont besoin de communiquer avec des serveurs de commande & contrôle. Segmentez votre réseau IA du reste de l’infrastructure et limitez les connexions sortantes autorisées. Utilisez des pare-feux applicatifs et des politiques de zero trust.

7. Former les équipes aux nouvelles menaces

La sensibilisation aux attaques agentiques est cruciale. Consultez notre sélection des 10 meilleurs livres sur la cybersécurité en 2025 pour former vos équipes. Les équipes DevOps et Data doivent comprendre que les outils d’IA sont désormais des cibles privilégiées. Organisez des exercices de simulation d’incidents pour tester la réaction face à un ransomware ciblant les modèles.

Conclusion : anticiper la prochaine vague d’attaques agentiques

L’émergence de JadePuffer et d’EncForge marque un tournant dans la cybersécurité des infrastructures d’IA. Les attaques agentiques ne sont plus une hypothèse théorique : elles sont opérationnelles et ciblent désormais les actifs les plus précieux de votre organisation. En tant que professionnel de la sécurité, vous devez intégrer cette menace dans votre plan de défense.

Les mesures présentées dans cet article constituent une première ligne de protection. Toutefois, la rapidité d’adaptation de ces agents exige une vigilance continue. Restez informé des dernières vulnérabilités, participez à des communautés de partage de menaces (comme celles de l’ANSSI), et n’hésitez pas à réaliser des audits de sécurité spécifiques à l’IA.

Enfin, rappelez-vous que la meilleure défense reste une approche defense-in-depth combinant prévention, détection et réaction. Ne laissez pas vos modèles d’IA devenir la prochaine victime de JadePuffer.