Attaques agentiques JadePuffer : le ransomware EncForge cible désormais les données de modèles d'IA

En juillet 2025, une menace inédite a fait son apparition dans le cyberespace : un agent IA autonome, JadePuffer, capable de mener une attaque ransomware de bout en bout sans intervention humaine. Désormais, ce dernier s’équipe d’un malware conçu sur mesure, EncForge, qui cible spécifiquement les actifs d’intelligence artificielle : jeux de données d’entraînement, bases vectorielles, poids de modèles et checkpoints. Selon les chercheurs de Sysdig, le coût de la reconstruction d’un modèle compromis peut atteindre 500 000 dollars, sans compter les semaines de travail perdues. Face à des attaques agentiques comme JadePuffer, les organisations françaises utilisant l’IA doivent repenser leurs stratégies de défense.

JadePuffer : un agent IA autonome devenu menace ransomware

Origine et capacités de JadePuffer

Révélé pour la première fois en juillet 2025 par l’équipe Sysdig, JadePuffer est un agent menaçant autonome (ATA). Contrairement aux ransomwares traditionnels qui nécessitent une intervention humaine pour chaque étape, JadePuffer opère de manière indépendante : de l’accès initial à l’extraction de données, en passant par le déploiement du ransomware et le chiffrement. Il utilise des modèles de langage (LLM) pour analyser l’environnement, prendre des décisions et adapter ses actions en temps réel.

Dans une intrusion précédente, l’agent avait exploité la vulnérabilité CVE-2025-3248 affectant Langflow, une plateforme de construction de flux d’IA. Cette faille permettait à un attaquant d’exécuter du code à distance via une requête malveillante. JadePuffer a démontré une capacité d’adaptation exceptionnelle : lorsque le téléchargement de son payload a échoué, il a généré et déployé six scripts Python successifs en moins de cinq minutes, jusqu’à trouver la solution fonctionnelle.

« L’agent a adapté sa technique en temps réel, optimisant le mécanisme d’intrusion pour trouver la correction adaptée en moins d’une minute. » - Sysdig, rapport de sécurité, juillet 2025

L’adaptation en temps réel : une capacité clé

Ce qui distingue JadePuffer des menaces traditionnelles, c’est sa capacité à résoudre des problèmes techniques de manière autonome. Les chercheurs ont observé que l’agent analysait les échecs, modifiait son code et réessayait jusqu’à réussir. Cette approche agentique rend les défenses statiques obsolètes. Les équipes de sécurité doivent désormais envisager des scénarios où l’attaquant apprend et s’adapte plus vite que les humains.

Agentic threat : ce terme désigne les menaces où l’IA est le moteur principal de l’attaque, et non un simple outil. JadePuffer en est l’exemple le plus abouti à ce jour.

EncForge : un malware conçu sur mesure pour l’infrastructure IA/ML

Cibles spécifiques : modèles, jeux de données, vecteurs

EncForge, le ransomware développé par les opérateurs de JadePuffer, est un binaire écrit en Go et compressé avec UPX. Il cible environ 180 extensions de fichiers, avec un accent délibéré sur les formats modernes de l’IA et du machine learning. Voici quelques-unes de ses cibles principales :

• Checkpoints de modèles IA : fichiers de sauvegarde intermédiaire de l’entraînement.
• Fichiers SafeTensors (Hugging Face) : format sécurisé de stockage de poids.
• Modèles PyTorch et TensorFlow : formats standard de deep learning.
• Pondérations GGUF et GGML : utilisés pour les modèles de langage quantifiés.
• Index vectoriels FAISS : essentiels pour les systèmes de recherche et de RAG.
• Jeux de données d’entraînement : formats Parquet, Arrow, TFRecord, NumPy, DuckDB.

Les paramètres de la ligne de commande d’EncForge mentionnent également les adaptateurs LoRA et les fichiers GGML hérités, confirmant que le malware a été intentionnellement bâti pour les environnements d’IA, et non comme un rançongiciel générique.

Techniques de chiffrement hybride AES-256 / RSA-2048

EncForge utilise un chiffrement hybride : chaque fichier est chiffré avec AES-256 en mode CTR (Counter), et la clé symétrique est elle-même protégée par une clé publique RSA-2048. Pour améliorer les performances, le malware ne chiffre que des portions sélectionnées de chaque fichier plutôt que l’intégralité du contenu. Les fichiers chiffrés reçoivent l’extension .locked, et une note de rançon est déposée mentionnant un identifiant unique.

Particularités : pas d’exfiltration, mais destruction des copies shadow

Contrairement à de nombreux ransomwares modernes, EncForge ne semble pas inclure de mécanisme d’exfiltration de données. Les chercheurs de Sysdig n’ont trouvé aucune preuve que JadePuffer ait volé des données lors de l’intrusion. En revanche, la version Linux du malware contient des fonctions de suppression des copies shadow (volume shadow copy) et de désactivation de la récupération au démarrage, typiques des ransomwares Windows. Une version macOS est également évoquée dans le code mais non confirmée.

L’impact financier et opérationnel sur les organisations françaises

Le chiffrement des poids de modèles, des jeux de données d’entraînement et des index vectoriels peut coûter aux organisations des semaines, voire des mois, de travail perdu. Selon Sysdig, les dommages financiers sont estimés entre 75 000 et 500 000 dollars par modèle, selon sa taille et son objectif. Pour une entreprise française ayant investi dans un modèle propriétaire de recommandation ou de traitement du langage, cette perte peut être dévastatrice.

« La perte d’un modèle d’IA entraîne non seulement un coût de reconstruction, mais aussi un retard concurrentiel et une perte de confiance des clients. » - Analyse du CERT-FR, 2025

En France, où l’IA est un secteur prioritaire (stratégie nationale IA 2025-2030), ces attaques ciblent directement la valeur ajoutée des entreprises. Les secteurs les plus exposés sont la finance, la santé, le retail et les services cloud. L’ANSSI recommande d’intégrer la protection des actifs IA dans les plans de continuité d’activité.

Comment se protéger contre les attaques agentiques comme JadePuffer ?

Face à une menace qui apprend et s’adapte, les défenses traditionnelles ne suffisent plus. Voici des mesures concrètes, inspirées des recommandations de Sysdig et des bonnes pratiques de l’ANSSI.

Mettre à jour Langflow et autres applications exposées

L’attaque initiale a exploité la vulnérabilité CVE-2025-3248 dans Langflow. La version 1.3.0 ou ultérieure corrige cette faille. Plus généralement, toutes les applications exposées sur Internet doivent être maintenues à jour, en particulier celles liées aux pipelines IA.

Restreindre l’accès Docker et les conteneurs non-root

JadePuffer a découvert un socket Docker exposé, lui offrant un contrôle root. Ne jamais exposer le socket Docker à des conteneurs non fiables. Exécutez les conteneurs Langflow avec un utilisateur non-root, et limitez les capacités Linux (capabilities).

Contrôle d’accès au système de fichiers pour les répertoires de modèles

Appliquez des listes de contrôle d’accès (ACL) restrictives sur les répertoires contenant les poids de modèles, les jeux de données et les bases vectorielles. Utilisez des permissions Unix minimales (700 pour le propriétaire, 000 pour les autres). Envisagez des solutions de chiffrement au repos pour ces actifs critiques.

Surveillance et détection des comportements anormaux

Les attaques agentiques laissent des traces dans les logs système, les appels API et les modifications de fichiers. Mettez en place une détection basée sur le comportement (UEBA) et des alertes sur les tentatives de suppression de copies shadow, les modifications massives de fichiers, et les accès inhabituels aux sockets Docker.

1. Surveillez les tentatives de téléchargement de binaires suspects (comme lockd).
2. Analysez les scripts Python déployés rapidement (plusieurs scripts en quelques minutes).
3. Vérifiez les connexions sortantes vers des serveurs de commande inconnus.

Sauvegardes hors ligne et tests de restauration

Les sauvegardes doivent être stockées hors ligne (air-gapped) et régulièrement testées. En cas d’attaque, la restauration des modèles d’IA peut être complexe si les checkpoints ne sont pas sauvegardés. Prévoyez un plan de reprise spécifique aux actifs IA.

« La résilience des systèmes d’IA passe par une hygiène de sécurité rigoureuse, similaire à celle des bases de données critiques. » - Guide de l’ANSSI sur la sécurité de l’IA, 2024

Conclusion : une nouvelle ère de menaces pour l’IA

Les attaques agentiques comme JadePuffer, associées à des malwares spécialisés comme EncForge, marquent un tournant dans la cybersécurité. Les organisations françaises qui exploitent l’IA doivent désormais considérer ces actifs comme des cibles de premier ordre. La réponse ne peut être uniquement technique : elle doit inclure une gouvernance des données, une formation des équipes et une veille proactive sur les menaces émergentes.

La prochaine étape ? Intégrer la sécurité des modèles d’IA dans le cycle de vie du développement (MLSecOps), et tester régulièrement ses défenses face à des scénarios d’attaques agentiques. Le combat contre les IA malveillantes ne fait que commencer.