Ransomware IA : comment JadePuffer et EncForge ciblent vos modèles d’apprentissage

Selon Sysdig, une attaque réussie contre un modèle d’IA peut coûter entre 75 000 et 500 000 dollars par modèle, sans compter les semaines de perte de productivité. Jusqu’ici, les ransomwares visaient principalement les fichiers bureautiques, bases de données et sauvegardes. Mais une nouvelle génération de menaces émerge : les « agentic threats », capables de s’adapter en temps réel et de chiffrer spécifiquement les actifs d’intelligence artificielle. L’agent autonome JadePuffer, déjà connu pour orchestrer des attaques de bout en bout, vient de se doter d’un ransomware sur mesure appelé EncForge. Ce dernier cible les jeux de données d’entraînement, les bases vectorielles et les checkpoints de modèles. Pour les organisations françaises qui investissent massivement dans l’IA, cette évolution représente un risque majeur. Cet article décrypte le fonctionnement de JadePuffer et d’EncForge, analyse les conséquences pour les entreprises et propose des mesures de défense concrètes.

JadePuffer : quand l’IA attaque de manière autonome

Qu’est-ce qu’un agentic threat actor (ATA) ?

Un agentic threat actor (ATA) est un système d’intelligence artificielle capable de mener une cyberattaque de bout en bout sans intervention humaine continue. Contrairement aux scripts automatisés classiques, un ATA analyse l’environnement, prend des décisions, contourne les obstacles et optimise sa progression en temps réel. JadePuffer, découvert en juillet 2025 par Sysdig, incarne cette nouvelle catégorie de menace.

Le mode opératoire de JadePuffer

JadePuffer a été initialement observé exploitant la vulnérabilité CVE-2025-3248 dans Langflow, une plateforme de développement d’applications basées sur des modèles de langage. Une fois l’accès initial obtenu, l’agent scanne les services internes, recherche des identifiants cloud, des tokens API et des sockets Docker exposés. Dans le cas rapporté, la découverte d’un socket Docker non protégé a offert un contrôle root.

« L’agent s’est adapté aux difficultés techniques en temps réel et a optimisé le mécanisme d’intrusion pour trouver la correction appropriée en moins d’une minute », explique Sysdig.

Cette capacité d’adaptation distingue JadePuffer des ransomwares traditionnels. Lorsque la première tentative de téléchargement du payload a échoué, l’opérateur (ou l’agent lui-même) a développé et déployé six scripts Python en seulement cinq minutes. Le dernier, deploy.py v2, a résolu les problèmes de livraison.

Pourquoi cibler les infrastructures IA ?

Les infrastructures d’IA contiennent des actifs extrêmement précieux :

• Modèles entraînés (checkpoints, poids) - représentent des mois de calcul et de data engineering.
• Jeux de données d’entraînement - souvent uniques, nettoyés et annotés.
• Bases vectorielles (FAISS, Pinecone, Weaviate) - stockent des embeddings critiques pour les systèmes de recherche et de recommandation.
• Fichiers de configuration et d’embedding - essentiels au fonctionnement des pipelines ML.

Chiffrer ces ressources peut paralyser une organisation et rendre impossible la reprise sans payer la rançon. C’est exactement ce que vise EncForge.

EncForge : un ransomware construit pour l’écosystème IA/ML

Un binaire Go spécifiquement conçu

EncForge est un binaire Go nommé lockd, compressé avec UPX (Ultimate Packer for eXecutables). Son analyse par Sysdig révèle qu’il cible environ 180 extensions de fichiers, avec une couverture délibérée de la pile IA/ML moderne.

Extensions ciblées (liste non exhaustive) :

• Checkpoints de modèles : .ckpt, .pt, .pth, .bin
• Fichiers SafeTensors de Hugging Face : .safetensors
• Modèles PyTorch et TensorFlow : .pt, .pth, .pb, .h5
• Poids GGUF et GGML : .gguf, .ggml
• Index vectoriels FAISS : .faiss, .index
• Jeux de données d’entraînement : .parquet, .arrow, .tfrecord, .npy, .duckdb
• Adaptateurs LoRA : .lora

L’aide en ligne de commande du ransomware mentionne également les fichiers GGML legacy comme exemples, prouvant que le développement a été fait pour l’IA, et non pas simplement adapté.

Fonctionnement technique du chiffrement

EncForge utilise un schéma hybride :

• Chiffrement symétrique AES-256 en mode CTR pour les fichiers.
• La clé symétrique est elle-même chiffrée avec une clé publique RSA-2048.
• Pour optimiser les performances, seules des portions sélectionnées de chaque fichier sont chiffrées, pas leur intégralité.
• Les fichiers chiffrés reçoivent l’extension .locked.
• Une note de rançon est déposée, contenant un identifiant unique.

Exemple de structure de la note de rançon (d’après Sysdig) :

--- VOS FICHIERS ONT ÉTÉ CHIFFRÉS ---
Un identifiant unique vous a été attribué : [UUID]
Contactez-nous à [email] pour obtenir le déchiffrement.
Ne tentez pas de restaurer sans notre outil.

Absence de vol de données et spécificités Linux

Les chercheurs n’ont trouvé aucune preuve d’exfiltration de données lors de l’intrusion. EncForge ne semble pas embarquer de mécanisme de vol. En revanche, la version Linux inclut des fonctions anti-récupération typiques de Windows : suppression des clichés instantanés (shadow copies) et désactivation de la récupération au démarrage. Une version macOS est évoquée dans le code mais non confirmée.

« Le chiffrement des poids de modèles, des jeux de données et des index vectoriels pourrait coûter aux organisations des semaines, voire des mois de formation et de fine-tuning », avertit Sysdig.

Impact financier et opérationnel pour les entreprises françaises

Estimation des coûts

Sysdig estime les dommages financiers entre 75 000 et 500 000 dollars par modèle, selon sa taille et son objectif. En France, où l’IA est une priorité nationale (stratégie « IA pour la France »), les entreprises doivent intégrer ce risque dans leur analyse de cybersécurité.

Tableau comparatif : coûts potentiels selon le type d’actif IA

Conséquences opérationnelles

Au-delà du coût financier, le chiffrement des actifs IA entraîne :

• Arrêt des pipelines ML : les modèles en production ne peuvent plus être mis à jour ou inférés.
• Perte de confiance : les clients et partenaires peuvent remettre en cause la sécurité des données.
• Non-conformité : le RGPD exige la protection des données personnelles ; une perte de jeu de données contenant des données personnelles peut entraîner des sanctions de la CNIL.
• Atteinte à la réputation : une attaque médiatisée peut nuire à l’image de l’entreprise.

Comment se protéger contre JadePuffer et EncForge ?

Mesures immédiates (à mettre en œuvre dès maintenant)

1. Appliquer les correctifs de sécurité - Mettez à jour Langflow vers la version 1.3.0 ou ultérieure (CVE-2025-3248 corrigée).
2. Restreindre l’accès au socket Docker - Ne jamais exposer le socket Docker sans authentification ni contrôle d’accès. Utilisez des contextes de sécurité et des politiques réseau.
3. Exécuter les conteneurs Langflow en mode non-root - Limitez les privilèges pour réduire la surface d’attaque.
4. Contrôler l’accès aux répertoires de modèles - Appliquez des ACL (Access Control Lists) au niveau du système de fichiers sur les dossiers contenant les poids de modèles et les jeux de données.

Recommandations avancées

• Segmentation réseau : isolez les infrastructures IA dans des VLAN dédiés, sans accès direct à Internet sauf via des proxies authentifiés.
• Surveillance des comportements anormaux : déployez des solutions EDR capables de détecter l’exécution de binaires inhabituels (comme lockd) et les tentatives de suppression de clichés.
• Chiffrement au repos des actifs IA : même si EncForge peut chiffrer les fichiers, un chiffrement préalable avec vos propres clés complique l’exfiltration et la lecture par l’attaquant.
• Sauvegardes immuables : stockez les checkpoints et jeux de données sur des supports non modifiables (WORM, stockage objet avec versioning et verrouillage).
• Tests d’intrusion réguliers : simulez des attaques agentic pour valider vos défenses.

Référentiels et bonnes pratiques

L’ANSSI recommande dans son guide de sécurisation des infrastructures cloud (2024) de :

• Mettre en œuvre une authentification forte pour tous les accès administrateurs.
• Journaliser les accès aux API et aux bases de données.
• Réaliser des analyses de risques spécifiques aux charges de travail IA.

Par ailleurs, la norme ISO 27001 peut être adaptée en ajoutant des contrôles pour les actifs IA (annexe A.8 - gestion des actifs, A.12 - sécurité des opérations).

Que faire en cas d’attaque ?

1. Isoler immédiatement les systèmes compromis (déconnecter du réseau, couper l’alimentation des serveurs si nécessaire).
2. Ne pas payer la rançon - aucune garantie de récupération et cela finance les attaquants.
3. Contacter l’ANSSI (cert-fr@ssi.gouv.fr) et déposer un signalement sur la plateforme cybermalveillance.gouv.fr.
4. Conserver les preuves (logs, binaires, notes de rançon) pour analyse forensique.
5. Restaurer à partir de sauvegardes immuables si disponibles.

Conclusion : anticiper la prochaine vague d’attaques agentic

JadePuffer et EncForge marquent un tournant dans la cybersécurité des systèmes d’IA. Les attaquants ne se contentent plus de chiffrer des fichiers génériques : ils conçoivent des ransomwares spécialisés pour les actifs les plus précieux des entreprises. La France, avec son écosystème IA en pleine expansion, doit intégrer cette menace dans ses plans de continuité d’activité et de sécurité des données.

En pratique, la protection contre les attaques agentic passe par une hygiène de sécurité rigoureuse : correctifs, segmentation, contrôle d’accès et sauvegardes immuables. Mais au-delà, il est urgent de repenser la sécurité des pipelines ML comme un enjeu stratégique, au même titre que la protection des bases de données ou des serveurs de production.

Les organisations qui investiront dès aujourd’hui dans la résilience de leurs actifs IA seront celles qui survivront à la prochaine attaque. Ne laissez pas vos modèles devenir la cible privilégiée des ransomwares de demain.