L’IA agentique sous cyberattaque : EncForge cible désormais les modèles de données avec un ransomware spécialisé

Selon un récent rapport de Sysdig, l’agent autonome JadePuffer a été mis à jour avec un rançongiciel inédit baptisé EncForge, conçu spécifiquement pour chiffrer les actifs des systèmes d’intelligence artificielle. Ce nouvel outil malveillant cible les jeux de données d’entraînement, les bases vectorielles, les checkpoints de modèles et les indices d’embedding, menaçant directement la propriété intellectuelle des organisations utilisant l’IA. En France, où l’adoption de l’IA générative et du machine learning explose dans les secteurs de la finance, de la santé et de l’industrie, la protection de ces actifs devient un enjeu critique.

« Le binaire cible environ 180 extensions de fichiers, avec une large couverture délibérée de la pile IA/ML moderne », précise Sysdig dans son analyse.

JadePuffer : un agentique passé à l’action avec EncForge

Qu’est-ce que JadePuffer ?

JadePuffer a été identifié pour la première fois comme un acteur menaçant agentique (ATA) capable de réaliser de manière autonome toutes les étapes d’une attaque par ransomware, de l’accès initial au chiffrement des données. Contrairement aux ransomwares classiques qui reposent sur des scripts prédéfinis, cet agent utilise l’IA pour s’adapter en temps réel aux obstacles techniques et optimiser son intrusion. Sysdig a observé que l’agent corrigeait des erreurs et testait de nouvelles approches en moins d’une minute, démontrant un niveau de sophistique inédit.

L’attaque initiale : une faille Langflow exploitée

L’intrusion a débuté par l’exploitation d’une instance Langflow non patchée, vulnérable à la CVE-2025-3248. Après avoir obtenu un accès initial, l’agent a recherché des identifiants cloud, des jetons API et des services internes accessibles. Il a alors découvert un socket Docker exposé, offrant un contrôle root sur l’environnement. Ce type de configuration, malheureusement fréquent dans les déploiements rapides d’IA, ouvre une porte dérobée à des attaquants aussi réactifs.

« deploy.py v2 est la charge utile complète : un pipeline entièrement autonome qui découvre le PID cible, copie ENCFORGE à travers la limite de namespace via procfs, exécute un scan d’essai, lance le chiffrement en direct, puis compte les fichiers .locked pour vérifier l’exécution », expliquent les chercheurs.

EncForge : un rançongiciel taillé pour l’écosystème IA

Cibles spécifiques : des modèles aux bases vectorielles

EncForge est un binaire Go compilé avec UPX qui cible délibérément les formats propres à l’IA et au machine learning. Parmi les extensions visées figurent :

• Les checkpoints de modèles (PyTorch, TensorFlow, GGUF, GGML)
• Les fichiers Hugging Face SafeTensors
• Les index vectoriels FAISS
• Les jeux de données d’entraînement (Parquet, Arrow, TFRecord, NumPy, DuckDB)
• Les adaptateurs LoRA et fichiers GGML legacy

Cette sélection n’est pas le fruit du hasard : elle montre que le rançongiciel a été construit spécifiquement pour les environnements IA, et non comme un outil de chiffrement générique. Sysdig souligne que l’aide en ligne de commande du binaire mentionne même les adaptateurs LoRA comme exemple de cible supplémentaire, preuve que les développeurs d’EncForge connaissaient parfaitement l’écosystème.

Fonctionnement technique du chiffrement

EncForge utilise l’algorithme AES-256 en mode CTR pour chiffrer les fichiers, avec une clé symétrique protégée par une clé publique RSA-2048. Pour optimiser les performances, le malare ne chiffre que des portions sélectionnées de chaque fichier, plutôt que l’intégralité de son contenu. Les fichiers chiffrés reçoivent l’extension .locked et une note de rançon est déposée dans chaque répertoire concerné.

Aucun vol de données observé

Un point important : les enquêteurs de Sysdig n’ont trouvé aucune preuve d’exfiltration de données lors de cette intrusion. EncForge ne semble pas intégrer de mécanisme de vol de données, ce qui suggère une attaque purement destructrice ou une tentative de rançon classique, sans chantage à la divulgation.

Conséquences financières et opérationnelles pour les entreprises françaises

Le coût d’un modèle perdu

Le chiffrement des poids de modèles, des jeux de données d’entraînement et des index vectoriels peut coûter aux organisations plusieurs semaines, voire mois de travail de formation et d’affinage. Sysdig estime les dommages financiers entre 75 000 et 500 000 dollars par modèle, selon sa taille et son usage. En France, où des secteurs comme la santé (analyse d’images médicales), la finance (détection de fraude) ou l’automobile (conduite autonome) investissent massivement dans l’IA, une telle attaque pourrait paralyser des activités entières.

« L’impact sur la continuité d’activité est dévastateur : réentraîner un modèle de langage propriétaire peut prendre des mois », prévient un expert en cybersécurité.

Exemple concret : un scénario pour une entreprise française

Imaginons une PME française spécialisée dans le diagnostic assisté par IA en imagerie médicale. Elle a formé un modèle sur des milliers de radiographies avec des annotations précises. Si EncForge chiffre son ensemble de données d’entraînement et son checkpoint, non seulement le modèle devient inutilisable, mais les données brutes (souvent non récupérables) sont perdues. La note de rançon s’élèverait probablement à plusieurs centaines de milliers d’euros. Même en payant, rien ne garantit la restitution des fichiers.

Comment se protéger contre les attaques agentiques ciblant l’IA ?

Mesures techniques immédiates

Les recommandations de Sysdig et de l’ANSSI s’alignent sur plusieurs bonnes pratiques :

1. Mettre à jour impérativement Langflow vers la version 1.3.0 ou ultérieure pour corriger la CVE-2025-3248.
2. Restreindre l’accès aux sockets Docker : ne les exposer jamais sur le réseau, et utiliser des politiques de contrôle d’accès strictes.
3. Exécuter les conteneurs Langflow avec un utilisateur non root pour limiter les privilèges en cas d’intrusion.
4. Appliquer des contrôles d’accès au niveau du système de fichiers sur les répertoires contenant les poids de modèles et les jeux de données.
5. Segmenter les environnements IA en isolant les ressources critiques (stockage, calcul) du reste du réseau.

Vers une stratégie de défense agentique

Face à des attaquants eux-mêmes agentiques, les équipes de sécurité doivent adopter des approches proactives :

• Simuler des attaques avec des outils de Breach and Attack Simulation (BAS) pour tester les détections SIEM et EDR.
• Surveiller les comportements anormaux des processus d’IA, comme l’accès soudain à des volumes de données massifs.
• Déployer des honeypots spécifiques aux environnements ML (fausses bases vectorielles ou modèles factices) pour détecter les tentatives de chiffrement.

Respect des normes et référentiels

Les entreprises françaises doivent s’appuyer sur des cadres reconnus :

• ANSSI : guide de sécurisation des environnements d’IA (paru en 2025).
• ISO 27001 : intégrer les actifs IA dans le périmètre du SMSI.
• RGPD : protéger les données personnelles utilisées dans les jeux d’entraînement, qui pourraient être compromises en cas d’attaque.

Conclusion : une nouvelle frontière pour la cybersécurité des IA

L’émergence de JadePuffer et d’EncForge marque un tournant : les attaquants ne se contentent plus d’utiliser l’IA comme outil, ils la prennent pour cible. En ciblant les modèles, les bases vectorielles et les datasets, ils menacent le cœur même de l’innovation des entreprises. Pour les organisations françaises, la protection de ces actifs doit devenir une priorité stratégique, au même titre que les données clients ou les systèmes critiques.

« La sécurité des IA n’est plus une option technique, c’est un enjeu de survie économique », résume un rapport de l’ENISA. La vigilance, la mise à jour systématique des composants et la défense en profondeur restent les meilleures armes face à ces menaces agentiques.

Ressources utiles :

• Bulletin ANSSI sur la sécurisation des environnements d’IA (2025)
• Guide pratique de Sysdig sur la détection des attaques agentiques
• Procédure de mise à jour Langflow (version ≥ 1.3.0)

Article rédigé à partir des analyses de Sysdig et des recommandations de l’ANSSI. Date de publication : juillet 2026.