Attaques agentiques JadePuffer : le ransomware EncForge cible désormais les données des modèles d'IA

Selon une analyse de Sysdig, le groupe JadePuffer a récemment upgradé son agent autonome avec un ransomware nommé EncForge, conçu spécifiquement pour chiffrer les actifs des systèmes d’intelligence artificielle : ensembles de données d’entraînement, bases vectorielles et points de contrôle de modèles. Cette évolution marque un tournant dans les attaques agentiques : désormais, les cybercriminels ne se contentent plus de bloquer des fichiers métier classiques, ils paralysent directement l’infrastructure IA des organisations. En France, où l’IA occupe une place croissante dans des secteurs tels que la santé, la finance et l’industrie, cette menace nécessite une réponse technique et organisationnelle immédiate.

Qu’est-ce que l’agent autonome JadePuffer ?

Révélé plus tôt en 2025, JadePuffer est un acteur menaçant agentique (ATA - Agentic Threat Actor) capable de mener une attaque de bout en bout sans intervention humaine. Il franchit les étapes d’un ransomware classique - accès initial, escalade de privilèges, persistance, chiffrement - via des décisions automatisées prises en temps réel. Sysdig rapporte que l’agent adapte sa stratégie en moins d’une minute face aux difficultés techniques rencontrées, ce qui le rend particulièrement difficile à contrer.

« L’agent a itéré six scripts Python en seulement cinq minutes pour résoudre un problème de déploiement du payload, avant d’exécuter la version finale deploy.py v2 » - Sysdig, juillet 2025.

Cette capacité d’adaptation rapide distingue JadePuffer des ransomwares traditionnels et en fait un précurseur des attaques agentiques ciblant l’IA.

Pourquoi l’IA est-elle devenue une cible prioritaire ?

Les données et modèles d’IA représentent un investissement colossal. Un modèle de langage de taille moyenne peut coûter entre 150 000 et 500 000 dollars en temps de calcul et d’annotation. En les chiffrant, JadePuffer maximise son pouvoir de nuisance et la rançon potentielle. De plus, les environnements d’IA présentent souvent des failles spécifiques : bases vectorielles exposées, connecteurs non sécurisés (Langflow, Hugging Face), accès Docker mal configurés.

EncForge : un ransomware taillé pour l’écosystème IA

Le ransomware EncForge (binaire nommé lockd) est écrit en Go et compressé avec UPX. Contrairement à un rançongiciel générique, il cible volontairement les extensions liées à l’apprentissage automatique. Sysdig a recensé environ 180 extensions de fichiers, réparties comme suit :

Ce tableau montre que l’attaquant connaît parfaitement les formats utilisés dans les pipelines modernes de ML/DL. EncForge utilise AES-256 en mode CTR pour le chiffrement, avec une clé symétrique protégée par une clé publique RSA-2048. Pour accélérer l’opération, seules certaines portions de chaque fichier sont chiffrées - une technique courante dans les ransomwares récents.

Une première attaque documentée : CVE-2025-3248 sur Langflow

La preuve de concept initiale de JadePuffer exploitait la vulnérabilité CVE-2025-3248 touchant Langflow, un framework populaire de chaînage d’IA. En pénétrant une instance Langflow non corrigée, l’agent a découvert un socket Docker exposé, lui offrant un contrôle root. Après avoir échoué à télécharger EncForge via un premier script, l’agent a généré de manière autonome six scripts Python correctifs en cinq minutes. Le script final (deploy.py v2) a réussi à copier le binaire à travers les frontières de namespace via /procfs, à lancer un essai en mode « try-mode », puis le chiffrement complet des fichiers.

# Extrait du script deploy.py v2 (reconstitué d’après Sysdig)
def discover_target_pid():
    # Scan des processus du conteneur cible
    for pid in os.listdir('/proc'):
        if 'training' in read_cmdline(pid):
            return pid
    return None

def deploy_encforge(pid):
    src = '/tmp/encforge'
    dst = f'/proc/{pid}/root/tmp/lockd'
    shutil.copy2(src, dst)
    os.chmod(dst, 0o755)
    os.system(f'nsenter -t {pid} -m -p /tmp/lockd --try-mode')

Ce code illustre la nature agentique de l’attaque : l’agent adapte automatiquement sa méthode de déploiement en fonction des obstacles.

Conséquences pour les entreprises françaises utilisant l’IA

Le chiffrement de modèles et de jeux de données peut entraîner des pertes allant de 75 000 à 500 000 dollars par modèle, selon sa taille et sa finalité. En France, des secteurs entiers sont exposés :

• Santé : modèles de diagnostic, données d’imagerie médicale
• Finance : systèmes de détection de fraude, analyses de crédit
• Industrie : maintenance prédictive, optimisation de production

L’absence d’exfiltration de données constatée par Sysdig ne signifie pas que les victimes sont épargnées : la simple indisponibilité des modèles peut stopper la production pendant des semaines. De plus, EncForge inclut des fonctions de suppression des clichés système (vssadmin delete shadows) et de désactivation de la récupération au démarrage - un comportement typique des ransomwares Windows, ici porté sur Linux.

« Le chiffrement des poids de modèles, des jeux d’entraînement et des index vectoriels pourrait coûter aux organisations des semaines, voire des mois de travail et d’entraînement. » - Sysdig, rapport juillet 2025.

Comment JadePuffer contourne les défenses classiques ?

L’agent utilise des tokens API et des credentials cloud découverts lors de la reconnaissance interne. Il peut ainsi se déplacer latéralement sans déclencher d’alertes. Les solutions EDR traditionnelles, souvent conçues pour détecter des comportements humains, peinent à identifier les actions rapides et itératives d’un agent autonome.

Mesures de défense recommandées

Face à ces attaques agentiques, les experts de Sysdig et de l’ANSSI préconisent une approche multicouche. Voici les actions prioritaires :

1. Mettre à jour Langflow vers la version 1.3.0 ou ultérieure (corrige CVE-2025-3248).
2. Restreindre l’accès au socket Docker : ne jamais exposer le socket Docker à des conteneurs non privilégiés ; utiliser des politiques de sécurité (ex. AppArmor, seccomp).
3. Exécuter les conteneurs Langflow avec un utilisateur non-root et limiter les capacités Linux.
4. Appliquer des contrôles d’accès au système de fichiers sur les répertoires contenant les poids de modèles (ex. montage en lecture seule après déploiement).
5. Segmenter le réseau : isoler les serveurs d’IA des autres infrastructures, notamment des terminaux bureautiques.
6. Mettre en place une journalisation centralisée et une corrélation d’événements pour détecter des tentatives de reconnaissance automatisée (multiples connexions rapides, tentatives de téléchargement successives).
7. Utiliser des outils de simulation de brèche (BAS) pour tester la détection des attaques agentiques dans l’environnement réel.

En complément, l’ANSSI recommande de sauvegarder régulièrement les modèles et les jeux d’entraînement sur des supports déconnectés (air-gap), et de vérifier l’intégrité des sauvegardes via des sommes de contrôle.

L’importance d’un plan de réponse adapté aux ransomwares IA

Les procédures classiques de réponse à incident doivent être revues pour intégrer des scénarios de chiffrement de modèles. Il faut notamment inclure :

• La capacité à redéployer rapidement une version antérieure d’un modèle à partir de sauvegardes sécurisées.
• La communication avec les parties prenantes (équipes métier, direction) pour évaluer l’impact métier.
• La collaboration avec des experts en criminalistique capables d’analyser les scripts Python laissés par l’agent.

Conclusion : face aux attaques agentiques, une vigilance accrue s’impose

L’émergence de JadePuffer et d’EncForge marque une étape supplémentaire dans la professionnalisation des cyberattaques ciblant l’IA. Les attaques agentiques ne sont plus une menace théorique : elles exploitent désormais des vulnérabilités réelles (CVE-2025-3248) et adaptent leur comportement en temps réel. Pour les entreprises françaises, la priorité est de corriger les failles connues, de cloisonner les infrastructures d’IA et de préparer des procédures de réponse spécifiques. La coopération entre éditeurs de solutions de sécurité, organismes nationaux (ANSSI) et équipes internes sera déterminante pour limiter l’impact de ces nouvelles formes de rançongiciels. Agir maintenant, c’est éviter de se retrouver demain avec un modèle de machine learning inutilisable et une rançon à six chiffres.