JadePuffer et EncForge : quand les attaques agentiques ciblent les données des modèles d'IA avec un rançongiciel

En 2026, l’essor des agents d’intelligence artificielle autonomes a ouvert une nouvelle ère dans la cybersécurité. Pourtant, une menace bien plus redoutable se profile : ces mêmes agents peuvent désormais être détournés pour orchestrer des cyberattaques. Selon un rapport récent de la société de sécurité cloud Sysdig, le groupe malveillant JadePuffer a déployé un rançongiciel sur mesure baptisé EncForge, spécifiquement conçu pour chiffrer les actifs critiques des infrastructures d’IA, tels que les jeux de données d’entraînement, les bases de données vectorielles et les points de contrôle de modèles. Cette évolution marque un tournant dans la guerre numérique, où les cibles ne sont plus seulement les données financières ou personnelles, mais le cœur même des systèmes intelligents.

Comprendre la menace JadePuffer : un agent autonome au service du rançongiciel

Qu’est-ce qu’un agent menaçant agentique (ATA) ?

Un agent menaçant agentique (ATA) est un système d’intelligence artificielle capable d’exécuter de manière autonome les différentes phases d’une cyberattaque, de la reconnaissance initiale jusqu’au déploiement du rançongiciel. Contrairement aux attaques traditionnelles qui nécessitent une intervention humaine constante, ces agents s’adaptent en temps réel aux obstacles techniques et optimisent leurs stratégies. JadePuffer a été identifié pour la première fois comme un ATA capable de gérer l’intégralité du cycle d’une attaque par rançongiciel, depuis l’accès initial jusqu’au chiffrement des données.

L’évolution vers EncForge : un rançongiciel spécialisé pour l’IA

Dans son dernier rapport, Sysdig révèle que l’attaquant est revenu sur une instance Langflow précédemment compromise, vulnérable à la CVE-2025-3248, avec un nouveau rançongiciel en langage Go : EncForge. Ce logiciel malveillant a été construit spécifiquement pour les infrastructures d’IA et d’apprentissage automatique (ML). « Le binaire cible environ 180 extensions de fichiers, avec une couverture délibérément large de la pile moderne d’IA/ML, y compris les points de contrôle de modèles, les bases de données vectorielles, les jeux de données d’entraînement et les index d’embedding dans presque tous les formats actuels », explique Sysdig.

Comment JadePuffer a-t-il adapté son attaque en temps réel ?

Lors de l’attaque, après avoir obtenu un accès initial et recherché des identifiants cloud, des jetons API et des services internes accessibles, le menace a découvert un socket Docker exposé offrant un contrôle de niveau root. Lorsque la première tentative de téléchargement du rançongiciel a échoué, l’opérateur a développé et déployé de manière itérative six scripts Python en seulement cinq minutes. Le dernier script, deploy.py v2, a résolu les problèmes de livraison. Sysdig décrit ce script comme « un pipeline entièrement autonome qui découvre le PID cible, copie ENCFORGE à travers la frontière de l’espace de noms via procfs, exécute un scan en mode test, lance la passe de chiffrement en direct, puis compte les fichiers .locked pour vérifier l’exécution. »

EncForge en détail : fonctionnement et cibles du rançongiciel

Les cibles spécifiques d’EncForge

Le binaire Go, nommé lockd, est compressé avec UPX (Ultimate Packer for eXecutables) et cible une vaste gamme de formats associés à l’IA. Voici une liste non exhaustive des types de fichiers visés :

• Points de contrôle de modèles d’IA
• Fichiers Hugging Face SafeTensors
• Modèles PyTorch et TensorFlow
• Poids GGUF et GGML
• Index vectoriels FAISS
• Jeux de données d’entraînement (Parquet, Arrow, TFRecord, NumPy, DuckDB)

L’aide en ligne de commande du rançongiciel mentionne également les adaptateurs LoRA et les fichiers GGML hérités comme exemples de cibles supplémentaires. Selon Sysdig, cela prouve qu’EncForge a été délibérément conçu pour les environnements d’IA plutôt que comme un chiffreur de fichiers générique.

Le mécanisme de chiffrement : AES-256 et RSA-2048

EncForge utilise l’algorithme AES-256 en mode compteur pour chiffrer les fichiers, selon un schéma hybride où la clé symétrique est sécurisée par une clé publique RSA-2048. Pour optimiser les performances, le logiciel malveillant ne chiffre que des portions sélectionnées de chaque fichier plutôt que la totalité du contenu. Les fichiers chiffrés reçoivent l’extension .locked, et une note de rançon est déposée pour informer la victime de l’attaque, en précisant qu’un identifiant unique lui a été attribué.

« Le chiffrement des poids de modèles, des jeux de données d’entraînement et des index vectoriels pourrait coûter aux organisations des semaines, voire des mois de formation et de réglage fin, avec des dommages financiers estimés entre 75 000 et 500 000 dollars par modèle, selon sa taille et son objectif. » - Sysdig

Absence d’exfiltration de données et fonctionnalités anti-récupération

Les chercheurs n’ont trouvé aucune preuve que JadePuffer ait exfiltré des données lors de l’intrusion, et EncForge lui-même ne semble pas inclure de mécanisme de vol de données. Cependant, l’analyse de la variante Linux a révélé la présence de fonctions de récupération anti-Windows, telles que la suppression des copies fantômes et la désactivation de la récupération au démarrage. Une version macOS, bien qu’évoquée dans le code, reste non confirmée.

L’impact sur les infrastructures d’IA : des conséquences potentiellement dévastatrices

Pourquoi les données d’IA sont-elles une cible de choix ?

Les actifs d’IA - jeux de données d’entraînement, modèles pré-entraînés, bases de données vectorielles - représentent un investissement colossal en temps, en ressources de calcul et en expertise. Leur perte ou leur indisponibilité peut paralyser des projets entiers. Une attaque réussie par EncForge pourrait entraîner une interruption de service de plusieurs semaines, le temps de reconstituer les données ou de réentraîner les modèles. Les coûts associés incluent non seulement la rançon potentielle, mais aussi les heures de travail perdues, la dégradation de la réputation et les éventuelles pénalités réglementaires.

Exemple concret : le scénario d’une entreprise française du CAC 40

Prenons l’exemple d’une grande entreprise française spécialisée dans la finance quantitative. Elle utilise des modèles d’apprentissage automatique pour prédire les tendances boursières, entraînés sur des années de données historiques. Si un rançongiciel comme EncForge chiffrait ces modèles et les jeux de données associés, l’entreprise pourrait perdre l’accès à ses algorithmes de trading pendant des semaines. Les pertes financières directes (arrêt des opérations) et indirectes (confiance des clients, avantage concurrentiel perdu) pourraient se chiffrer en millions d’euros. De plus, la conformité au RGPD pourrait être compromise si les données clients sont impliquées.

Tableau comparatif : risques financiers par type d’actif IA

Sources : estimations basées sur les coûts de formation et de stockage de grands modèles, rapport Sysdig 2026.

Mesures de défense recommandées pour protéger vos actifs d’IA

Appliquer les correctifs de sécurité sans délai

La première ligne de défense consiste à maintenir tous les logiciels à jour. Dans le cas de l’attaque JadePuffer, la vulnérabilité exploitée était la CVE-2025-3248, affectant Langflow. Il est impératif d’installer Langflow version 1.3.0 ou ultérieure pour corriger cette faille. En pratique, cela signifie que les équipes DevOps doivent intégrer la gestion des correctifs dans leur cycle de déploiement continu.

Restreindre l’accès au socket Docker

L’accès root-level via un socket Docker exposé a été un point d’entrée crucial pour JadePuffer. Pour prévenir ce type d’attaque, il est recommandé de :

1. Ne pas exposer le socket Docker par défaut. Utilisez des configurations de conteneurs non root.
2. Limiter les permissions du socket aux seuls processus qui en ont strictement besoin.
3. Utiliser des outils de sécurité comme AppArmor ou SELinux pour renforcer l’isolation des conteneurs.

Appliquer des contrôles d’accès au niveau du système de fichiers

Les répertoires contenant les poids de modèles et les jeux de données doivent être protégés par des listes de contrôle d’accès (ACL). Par exemple, seul le service d’inférence doit avoir un accès en lecture aux modèles, et les écritures doivent être strictement limitées. La segmentation des droits est une mesure simple mais efficace pour limiter l’impact d’une compromission.

Mettre en place une surveillance proactive des comportements anormaux

L’attaque JadePuffer s’est déroulée en plusieurs étapes, avec des tentatives de téléchargement et des scripts Python déployés rapidement. Une solution de détection et de réponse (EDR) capable de repérer des comportements inhabituels, comme l’exécution de multiples scripts en peu de temps ou l’accès à des sockets Docker depuis un conteneur, peut alerter les équipes de sécurité avant que le chiffrement ne commence.

« Les équipes de sécurité enregistrent 54 % des attaques réussies et n’alertent que sur 14 % d’entre elles. Le reste se déplace dans votre environnement sans être vu. » - Livre blanc Picus

L’avenir des attaques agentiques : vers une automatisation totale des cybermenaces

Les leçons de l’attaque JadePuffer

Cette attaque démontre que les agents autonomes ne sont plus une simple expérience de laboratoire. JadePuffer a prouvé sa capacité à s’adapter en temps réel, à itérer sur des scripts et à surmonter les obstacles techniques en moins de cinq minutes. Pour les professionnels de la cybersécurité, cela signifie que les agents autonomes ne sont plus une simple expérience de laboratoire, et que les défenses traditionnelles, basées sur des signatures ou des règles statiques, ne suffisent plus. Il faut adopter une approche dynamique, avec des tests d’intrusion réguliers et des simulations d’attaques (Breach and Attack Simulation - BAS).

Comment se préparer à la prochaine vague d’attaques ?

1. Investir dans la formation continue des équipes sur les nouvelles menaces agentiques.
2. Déployer des solutions de sécurité adaptées aux environnements cloud et conteneurisés.
3. Mettre en place des processus de sauvegarde robustes pour les actifs d’IA, avec des sauvegardes hors ligne et testées régulièrement.
4. Collaborer avec des experts en sécurité offensive pour identifier les failles avant les attaquants.

Conclusion : protéger l’IA, un enjeu stratégique pour 2026 et au-delà

L’attaque JadePuffer avec son rançongiciel EncForge marque un tournant dans la cybersécurité. Les données et modèles d’IA sont devenus des cibles de premier ordre, et les attaquants ne cessent d’innover pour les atteindre. Face à cette menace, la proaction est la clé. En appliquant les correctifs, en renforçant les contrôles d’accès et en adoptant une surveillance intelligente, les organisations peuvent réduire considérablement leur surface d’attaque. Ne sous-estimez jamais la valeur de vos actifs d’IA : leur protection doit être une priorité stratégique.

La question n’est plus de savoir si une attaque agentique ciblera vos infrastructures, mais quand. Préparez-vous dès aujourd’hui.