Les rançongiciels ne se contentent plus de vos photos de vacances : ils lorgnent désormais vos modèles d’IA. Selon les travaux de Sysdig repris par plusieurs médias spécialisés, l’agent autonome baptisé JadePuffer s’est doté d’un rançongiciel maison, EncForge, taillé pour chiffrer précisément ce qui coûte cher à entraîner : jeux de données, bases vectorielles et checkpoints de modèles.
L’originalité tient moins à la technique de chiffrement (déjà vue mille fois) qu’à sa cible. Fini le butin générique, place au pillage ciblé de l’ossature des pipelines de machine learning.
Points clés
- EncForge, rançongiciel écrit en Go, chiffre en AES-256/RSA-2048 environ 180 extensions liées à l’IA (checkpoints, SafeTensors, index FAISS, Parquet)
- L’accès initial exploite CVE-2025-3248, une faille de Langflow corrigée dès la version 1.3.0 au printemps 2025
- Aucun mécanisme d’exfiltration détecté : l’attaque mise sur le chiffrement pur, sans chantage à la fuite
- Sysdig chiffre l’impact d’une compromission à 75 000 – 500 000 dollars par modèle
EncForge vise l’ossature des pipelines IA
Le binaire Go, nommé lockd, est empaqueté avec UPX et vise environ 180 extensions de fichiers. Les cibles sont explicites : checkpoints PyTorch et TensorFlow, poids SafeTensors de Hugging Face, modèles GGUF et GGML, index FAISS, sans oublier des formats de données comme Parquet, Arrow, TFRecord, NumPy et DuckDB. Bref, tout ce qui fait tourner un projet d’IA sérieux.
Le programme ajoute l’extension .locked aux fichiers chiffrés et dépose une note de rançon. Sysdig décrit un schéma hybride classique : chiffrement en AES-256, avec protection de la clé symétrique par RSA-2048. Pour aller vite, l’outil ne traite qu’une partie de chaque fichier plutôt que l’intégralité du contenu.
Retour par la même porte : Langflow
D’après BleepingComputer et Infosecurity Magazine, EncForge a été déployé lors d’un retour sur une instance Langflow déjà compromise dans une intrusion précédente. L’accès initial passe encore par CVE-2025-3248, une faille d’authentification manquante dans l’endpoint de validation de code de Langflow. La version corrigée, 1.3.0, était disponible depuis le printemps 2025. Autrement dit, le correctif existe, encore faut-il l’appliquer.
Le dossier reste rattaché à JadePuffer, acteur que Sysdig avait déjà relié à une première opération agentique. Dans cette phase, pas de chantage à la fuite de données : les chercheurs disent n’avoir trouvé aucun mécanisme d’exfiltration dans EncForge, ni site de divulgation lié à la campagne. On chiffre, on demande, on encaisse.
La facture, plus salée qu’un simple fichier perdu
Sysdig estime qu’une compromission de poids de modèles, de jeux de données d’entraînement et d’index vectoriels peut coûter 75 000 à 500 000 dollars par modèle, selon sa taille et son usage. La perte ne porte pas sur quelques fichiers isolés mais sur des cycles entiers de fine-tuning, de réentraînement et de remise en production.
Les recommandations tiennent du bon sens rarement suivi : appliquer les correctifs disponibles (Langflow en tête), limiter l’accès au socket Docker, exécuter les conteneurs sans privilèges root et restreindre l’accès du système de fichiers aux seuls répertoires qui stockent les poids de modèles. Des mesures d’hygiène numérique connues, que les attaquants automatisés se feront un plaisir d’exploiter tant qu’elles resteront optionnelles.
