Un nouveau ransomware cible les poids des modèles d’IA et ne peut même pas collecter la rançon

Le même attaquant a pénétré à deux reprises dans le même serveur Langflow accessible sur Internet, et la deuxième fois, il a introduit un ransomware conçu pour détruire les modèles d’IA entraînés. L’équipe de recherche sur les menaces de Sysdig a documenté la première campagne le 1er juillet et la seconde le 20 juillet. Le point d’entrée n’a jamais changé, mais la charge utile a complètement changé.

Les deux ont traversé CVE-2025-3248, une faille d’authentification manquante dans le point de terminaison de validation de code de Langflow qui permet à toute personne atteignant le serveur d’exécuter Python dessus. Dans la première, l’agent a improvisé, chiffrant 1 342 éléments de configuration d’Alibaba Nacos avec la propre fonction de chiffrement de MySQL et supprimant les tables. Dans la seconde, il a mis en scène ENCFORGE, un binaire Go compilé balayant environ 180 extensions de fichiers.

ENCFORGE a été conçu pour les actifs d’IA, mais n’y est pas adapté

Ce qui trahit le design, c’est la liste d’extensions. Sysdig a trouvé les points de contrôle PyTorch et TensorFlow, les poids Hugging Face SafeTensors, le format GGUF derrière la plupart des déploiements LLM locaux, les index vectoriels FAISS et les données de formation dans Parquet et NumPy.

Un ransomware générique récupère les fichiers de modèle par accident car il crypte tout. ENCFORGE les nomme.

Son indicateur pour l’ajout de formats utilise des adaptateurs LoRA et des poids GGML hérités comme exemple, et un attaquant qui écrit qui sait à qui appartiennent ces machines.

Michael Clark, qui dirige l’équipe de recherche sur les menaces de Sysdig, a défini l’objectif comme étant la destruction de « la seule chose qu’une organisation ne peut pas simplement restaurer ». ENCFORGE ne transporte aucun code réseau. Sysdig n’a trouvé aucun numéro sortant dans le binaire, aucun site de fuite et aucun portail de paiement, et le même contact Proton Mail dans les deux demandes de rançon relie les campagnes à l’équipage qu’il suit sous le nom de JADEPUFFER. L’agent a récupéré les informations d’identification en arrivant, mais le casier ne peut rien exfiltrer, sa seule pression est donc de rendre les fichiers inutilisables. Il crypte des régions d’un fichier plutôt que l’intégralité du fichier, sous AES-256-CTR avec une clé par exécution enveloppée dans une clé RSA-2048 intégrée, l’optimisation de vitesse établie par les familles de ransomwares qu’utilisent pour détruire rapidement des fichiers volumineux.

Votre plan de sauvegarde ne couvre probablement pas les poids des modèles

La restauration d’une base de données à partir de l’instantané de vendredi coûte un week-end de transactions. La restauration d’un modèle affiné coûte tout ce que nous avons appris depuis vendredi, aucun d’entre eux n’étant stocké sous forme de lignes à rejouer.

En reconstruire un n’est pas un travail de restauration. Sysdig place la récupération directe pour un modèle affiné prêt pour la production entre 75 000 $ et 500 000 $, reflétant les taux de GPU cloud au cours des exécutions de formation nécessaires à un résultat utilisable, ainsi que les heures d’ingénierie qui les sous-tendent. Cela par modèle, et les équipes conservent plusieurs variantes sur le stockage partagé. Si les données d’entraînement se trouvent sur le même hôte que les poids, la récupération est bloquée jusqu’à ce que l’ensemble de données soit reconstruit. Payer n’est pas non plus une issue. Lors de la première campagne, la clé de cryptage était générée de manière aléatoire, imprimée une seule fois sur la console et jamais enregistrée, ce qui faisait de cette charge utile un essuie-glace portant une demande de rançon.

Ce chiffre rend l’argument fondable. Kayne McGladrey, membre senior de l’IEEE qui a passé sa carrière dans la sécurité des identités, a déclaré à VentureBeat que les équipes de sécurité perdaient ces combats en classant l’exposition sous la mauvaise rubrique. Les entreprises « devraient se concentrer sur les risques commerciaux plutôt que sur certains, vous savez, les risques de cybersécurité, car s’ils n’affectent pas l’entreprise, comme une perte ou une perte financière, dans ce cas-ci, principalement, alors personne ne prendra de mesures à cet égard, et ils ne le budgétiseront pas de manière appropriée, et ils ne mettront pas non plus de contrôles adéquats pour l’empêcher », a-t-il déclaré. Un modèle détruit comporte un coût de remplacement connu, qui est la version de cette histoire sur laquelle agit un directeur financier.

Les directives officielles n’ont pas rattrapé leur retard. En mai 2025, le Centre de sécurité de l’intelligence artificielle de la NSA, la CISA et le FBI ont publié « AI Data Security », le document faisant le plus autorité sur le sujet, co-scellé avec le Royaume-Uni, l’Australie et la Nouvelle-Zélande. Les trois risques cités sont la chaîne d’approvisionnement des données, les données modifiées de manière malveillante et la dérive des données. Tous trois se demandent si les données sont fiables. ENCFORGE demande s’il existe toujours.

Il a construit sa propre trappe de secours en cinq minutes

C’est dans l’échec de la livraison que cette campagne montre son intérêt.

Après avoir confirmé l’exécution, l’agent a recherché sur l’hôte les clés cloud, les chaînes de connexion et les jetons API, les a relu sur les services de base de données et de cache internes, et a trouvé le socket Docker dans /var/run/docker.sock, qui est fonctionnellement racine. Il a ensuite tenté d’extraire le binaire du ransomware de son serveur de commande et de contrôle, mais la récupération n’a pas abouti.

Plutôt que de réessayer, il a changé de stratégie, en créant six scripts Python via le canal Langflow et en convergeant vers un hôte fonctionnel en cinq minutes et 24 secondes, chacun corrigeant une défaillance de celui qui le précédait. Le script final trouve l’ID du processus hôte via l’API Docker, copie le binaire au-delà des limites de l’espace de noms, exécute le cryptage, puis compte les fichiers pour confirmer que cela a fonctionné. Lors de la première campagne, ce même comportement était un échec de connexion diagnostiqué et corrigé en 31 secondes.

Le problème est devenu plus difficile et la méthode a tenu. Sam Evans, alors RSSI chez Clearwater Analytics, l’a exprimé en termes de budget. «En matière de sécurité, tout est question de temps d’arrêt», a-t-il déclaré à VentureBeat dans une interview exclusive. «S’il y a un mauvais acteur dans votre environnement et qu’il est là depuis un certain temps, votre temps de séjour est augmenté, donc le rayon de l’explosion a augmenté. La probabilité que cela devienne un incident matériel est exponentiellement élevée.»

Mike Riemer, vice-président principal du groupe de sécurité réseau et RSSI sur le terrain chez Ivanti, a vu ce pivot devenir la norme. Les vendeurs ont durci la porte d’entrée, a-t-il déclaré à VentureBeat, de sorte que les attaquants ont arrêté de frapper. «Je ne peux pas passer par la porte d’entrée, alors laissez-moi donner à quelqu’un la clé de sa maison, et je pourrai passer par la porte arrière avec une clé de maison», a-t-il déclaré. Derrière cela se trouve tout ce que les équipes pensent être couvert, car «elles ne sont pas directement sur Internet et elles sont derrière une barrière de protection, mais ce n’est pas le cas».

Personne n’a prétendu qu’une machine faisait cela sans surveillance. TechCrunch a rapporté le 6 juillet que la première opération nécessitait encore une personne pour choisir la cible et mettre en place l’infrastructure, et Sysdig ne pouvait pas retracer les informations d’identification racine. Un humain a visé celui-ci, et tout s’est ensuite déroulé sans personne au clavier.

Heath Renfrow, co-fondateur et RSSI de la société de récupération de failles Fenix24, a déclaré à Infosecurity Magazine que lorsqu’un agent réduit les heures de travail d’un opérateur en quelques minutes, «les défenseurs perdent un temps précieux». Le fait que l’attaquant ait été piloté par l’IA ne change rien à la réponse.

La porte était ouverte depuis 14 mois

CVE-2025-3248 a un score CVSS de 9,8. CISA l’a ajouté au catalogue des vulnérabilités exploitées connues le 5 mai 2025, avec une date limite fédérale fixée au 26 mai, et Langflow l’a corrigé dans la version 1.3.0. Lorsque JADEPUFFER est revenu en juillet 2026, le serveur avait dépassé cette liste depuis plus de quatorze mois et était déjà documenté publiquement comme victime d’une violation.

Riemer a chiffré le peu de temps qui lui reste. «Si je publie un correctif et qu’un client ne le fait pas dans les 72 heures suivant cette publication, il peut être exploité, car c’est à cette vitesse qu’il peut désormais le faire», a-t-il déclaré, ajoutant que la plupart des clients ont besoin d’une semaine pour appliquer le correctif à la main. Fixez 72 heures contre quatorze mois, et l’écart cesse de se lire comme un écart.

Rien dans les deux campagnes n’était nouveau. Le premier a forgé un jeton d’administrateur Nacos avec une clé de signature publique par défaut depuis 2020, a parcouru CVE-2021-29441, un contournement d’authentification qu’Alibaba a corrigé en 2021, et a trouvé un magasin MinIO sur minioadmin:minioadmin. Sysdig a dénombré plus de 600 charges utiles, chacune s’appuyant sur une mauvaise configuration connue ou un bug corrigé laissé exposé. Le second a ajouté un socket Docker exposé. Chaque faiblesse était routinière. Les assembler à la vitesse de la machine ne l’était pas.

Langflow attire cette attention à cause de ce qu’il contient. VentureBeat a rapporté en juin qu’environ 7 000 instances étaient exposées, la plupart en Amérique du Nord, contenant des clés API de fournisseur, des informations d’identification cloud et des connexions en direct aux magasins de vecteurs qu’ENCFORGE a été conçu pour chiffrer. Riemer le dit sans détour. «Lorsque vous placez votre sécurité à la périphérie de votre réseau, vous invitez le monde entier à entrer à la périphérie de votre réseau», a-t-il déclaré.

CISA a ajouté cinq failles Langflow à son catalogue de vulnérabilités exploitées connues, dont deux ce mois-ci. Cinq failles de Langflow figurent désormais dans le catalogue KEV, dont deux ce mois-ci. CISA a ajouté CVE-2026-55255 le 7 juillet, un contournement entre locataires permettant à tout utilisateur authentifié sur une instance partagée d’exécuter les flux d’un autre locataire avec les informations d’identification de ce locataire, que l’avis des responsables évalue à 9,9 et corrigé dans la version 1.9.1.

Le 21 juillet, CISA a ajouté CVE-2026-0770, et celui-là est pire. Trend Micro a trouvé un chemin non authentifié vers l’exécution du code racine via le paramètre exec_globals, sur le même point de terminaison de validation que JADEPUFFER a traversé, noté 9,8. KEVIntel a enregistré une exploitation à partir du 27 juin, soit plus de 220 tentatives sur 64 adresses. Selon le fondateur Ryan Dewhurst, s’adressant à BleepingComputer, les charges utiles ont dépassé la reconnaissance des informations d’identification AWS et des métadonnées des conteneurs. Les agences fédérales avaient jusqu’au 24 juillet.

Rien de tout cela n’est un environnement exotique. Une enquête de Cloud Security Alliance auprès de 418 professionnels, commandée par Token Security, a révélé que 82 % des organisations avaient découvert des agents d’IA dont personne ne connaissait l’existence, et que 65 % avaient géré un incident lié à un agent au cours de l’année écoulée.

McGladrey retrace l’autorisation il y a quatre décennies. Les entreprises ont toujours cloné le profil d’accès d’un employé sur l’embauche suivante, et le font désormais avec des agents. Un agent «fait tout ce qu’il doit faire pour faire son travail», a-t-il déclaré, et il «utilise beaucoup plus d’autorisations qu’il ne devrait pas avoir… qu’un humain ne le ferait, en raison de la vitesse d’échelle et aussi de l’intention».

Que faire avant que le conseil d’administration ne le demande

«Chaque fois qu’une nouvelle attaque de ransomware est publiée dans l’actualité, nous recevons une enquête du conseil d’administration. Que faisons-nous à ce sujet ?» » dit Evans. «Et si cela implique l’IA, cela suscite encore plus leur peur.»

Cinq choses méritent une réponse cette semaine. Aucun ne nécessite d’acheter quoi que ce soit.

1. Obtenez chaque instance Langflow accessible sur Internet sur la version actuellement prise en charge. Tout ce qui s’en trouve est exposé à au moins l’un des cinq défauts répertoriés par la CISA, y compris l’ajout du 21 juillet. Examinez ensuite l’historique des requêtes adressées à /api/v1/validate/code pour le modèle exec_globals.

2. Retirez le socket Docker des conteneurs d’applications. Langflow n’a aucune raison de les créer. Si le montage est requis, frontez-le avec un proxy de socket autorisant uniquement les appels nécessaires.

3. Nommez les chemins d’artefact du modèle dans le plan de sauvegarde. Instantanés immuables des points de contrôle, des index vectoriels et des données d’entraînement, restauration testée, données hors de l’hôte contenant les poids.

4. Faites pivoter tous les identifiants que l’hôte peut atteindre, puis retirez les clés du fournisseur de son environnement d’exécution. L’application de correctifs ne révoque pas ce qui reste déjà. La première campagne a récolté les informations d’identification OpenAI, Anthropic et cloud en quelques secondes. Portez les remplacements à un gestionnaire de secrets.

5. Détectez la création massive de fichiers .locked dans les répertoires contenant des fichiers .gguf, .safetensors, .ckpt ou .faiss. Sysdig a publié une règle YARA et les deux hachages, aucun avec couverture antivirus au moment de l’analyse. Il n’a publié aucun décompte de fichiers, ce qui est donc documenté est une passe de cryptage en direct, et non une perte mesurée.

Un attaquant venant via un framework d’IA exposé arrive désormais avec quelque chose conçu pour ce à quoi il se connecte, et ces actifs sont ceux qu’une restauration ne peut pas reproduire. Les artefacts de modèle appartiennent au plan de récupération à côté des bases de données. En moins de trois semaines entre les deux rapports de Sysdig, tout cet attaquant avait besoin de passer d’un Python improvisé à un casier compilé.