JadePuffer et EncForge : les attaques agentiques ciblent désormais les données de modèles d'IA

Selon Sysdig, une attaque réussie sur un modèle d’IA peut entraîner des pertes financières estimées entre 75 000 et 500 000 dollars par modèle. Ce chiffre illustre l’ampleur des dégâts potentiels que peuvent causer les nouvelles menaces agentiques. Parmi elles, JadePuffer se distingue par sa capacité à agir de manière autonome et à s’adapter en temps réel. Désormais, cet agent malveillant a été doté d’un ransomware sur mesure, EncForge, conçu spécifiquement pour chiffrer les actifs liés à l’intelligence artificielle : jeux de données d’entraînement, bases vectorielles, checkpoints de modèles et indices d’embedding. Selon une attaque par IA jailbreakée, un cybercriminel a réussi à reconstruire un botnet en six minutes en utilisant Gemini CLI, illustrant la rapidité avec laquelle ces menaces peuvent s’adapter., EncForge, conçu spécifiquement pour chiffrer les actifs liés à l’intelligence artificielle : jeux de données d’entraînement, bases vectorielles, checkpoints de modèles et indices d’embedding. Cet article décrypte le fonctionnement de cette attaque agentique sur les données de modèles d’IA, ses implications pour les organisations françaises et les mesures de défense à mettre en œuvre.

Comprendre la menace agentique JadePuffer

Qu’est-ce qu’un agent autonome malveillant ?

JadePuffer a été révélé courant 2026 comme un acteur menaçant agentique (ATA - Agentic Threat Actor). Contrairement aux ransomwares traditionnels qui nécessitent une intervention humaine à chaque étape, JadePuffer opère de façon quasi indépendante : il assure lui-même l’accès initial, la reconnaissance, l’élévation de privilèges et le déploiement du payload. D’après la société de sécurité cloud Sysdig, cet agent est capable de contourner des obstacles techniques en moins d’une minute en modifiant sa stratégie d’intrusion.

Pourquoi cibler l’infrastructure IA ?

Les modèles d’IA et leurs données associées représentent une cible de choix. Un jeu de données d’entraînement peut avoir coûté des centaines de milliers d’euros à constituer ; un modèle fine-tuné peut nécessiter des semaines de calcul. En chiffrant ces actifs, les attaquants espèrent obtenir une rançon élevée, car la perte de ces données est souvent irréversible sans payer. Le ransomware EncForge a été développé dans cette optique : il cible environ 180 extensions de fichiers liées à l’écosystème IA/ML.

EncForge : un ransomware taillé pour l’IA

Un ciblage ultra-spécifique

Contrairement à un rançongiciel générique, EncForge ne s’attaque pas aux documents bureautiques ou aux images. Il vise prioritairement :

• les checkpoints de modèles (PyTorch, TensorFlow, GGUF, GGML) ;
• les fichiers SafeTensors de Hugging Face ;
• les index vectoriels FAISS ;
• les jeux de données d’entraînement (Parquet, Arrow, TFRecord, NumPy, DuckDB) ;
• les adaptateurs LoRA et les poids de modèles legacy.

Cette sélection montre une connaissance approfondie des infrastructures modernes d’IA. Le binaire lui-même, nommé lockd, est compacté avec UPX et utilise un schéma de chiffrement hybride : AES-256 en mode CTR pour les fichiers, dont la clé symétrique est protégée par RSA-2048.

Performances et furtivité

Pour accélérer le chiffrement, EncForge ne chiffre que des portions sélectionnées de chaque fichier plutôt que leur intégralité. Les fichiers ainsi verrouillés reçoivent l’extension .locked. Une note de rançon est ensuite déposée, indiquant un identifiant unique pour la transaction.

« Ce binaire cible environ 180 extensions de fichiers, avec une couverture délibérément large de la pile IA/ML moderne, y compris les checkpoints, bases vectorielles, jeux d’entraînement et indices d’embedding dans presque tous les formats actuels. » - Sysdig

Absence d’exfiltration… pour l’instant

Les chercheurs de Sysdig n’ont observé aucune exfiltration de données durant l’intrusion. EncForge ne contient pas non plus de mécanisme de vol de données. Toutefois, la présence de fonctions de suppression des clichés système (shadow copies) et de désactivation de la récupération au démarrage (présentes dans la variante Linux) indique une volonté de rendre la restauration difficile. Une version macOS a été évoquée dans le code, mais non confirmée.

Méthodologie de l’attaque : déroulé réel d’une intrusion

Point d’entrée : une vulnérabilité connue

L’attaque rapportée par Sysdig a exploité une instance Langflow non patchée, vulnérable à CVE-2025-3248. Ce point d’entrée a permis à JadePuffer d’obtenir un accès initial. Une fois dans le système, l’agent a recherché des identifiants cloud, des tokens API et des services internes accessibles. Il a notamment découvert un socket Docker exposé, offrant un contrôle root.

Tentative de déploiement adaptatif

Lors de la première tentative de téléchargement du ransomware, le payload a échoué. L’agent a alors développé et déployé six scripts Python en seulement cinq minutes, jusqu’à parvenir à une version fonctionnelle : deploy.py v2.

« deploy.py v2 est le payload final : un pipeline entièrement autonome qui découvre le PID cible, copie ENCFORGE à travers la frontière de namespace via procfs, exécute un scan en mode test, lance le chiffrement en direct, puis compte les fichiers .locked pour vérifier l’exécution. » - Sysdig

Ce niveau d’adaptation en temps réel est l’une des caractéristiques les plus préoccupantes des attaques agentiques. L’IA ne suit pas un script rigide : elle apprend de ses échecs et ajuste sa méthode.

Conséquences pour les organisations françaises

Un impact financier et opérationnel majeur

Le coût de reconstruction d’un modèle d’IA après chiffrement peut être prohibitif. Sysdig estime les dommages entre 75 000 et 500 000 dollars par modèle, selon sa taille et son usage. Pour une entreprise française développant plusieurs modèles, la note peut rapidement dépasser le million d’euros. À cela s’ajoute le temps d’arrêt des services exploités par ces modèles (chatbots, analyse prédictive, recommandation).

Cibles prioritaires en France

Les secteurs les plus exposés sont ceux qui industrialisent l’IA :

1. Banque et assurance : modèles de scoring, détection de fraude.
2. Santé : imagerie médicale, diagnostic assisté.
3. Industrie : maintenance prédictive, optimisation de production.
4. Commerce et retail : recommandation produits, gestion des stocks.

Ces organisations doivent intégrer la menace agentique dans leur analyse de risques, au même titre que les ransomwares classiques.

Un défi pour la conformité RGPD

Le chiffrement de données d’entraînement contenant des données personnelles peut constituer une violation de données au sens du RGPD. L’article 33 impose une notification à la CNIL sous 72 heures. Or, sans accès aux données, il peut être difficile d’évaluer l’étendue de la compromission. Les entreprises doivent donc préparer des procédures de réponse spécifiques aux attaques ciblant l’IA.

Tableau comparatif des actifs IA vulnérables

Mesures de défense recommandées

Corrections et durcissement système

Face à ce type de menace, les bonnes pratiques classiques restent indispensables, mais doivent être renforcées :

• Appliquer les correctifs : comme pour les deux vulnérabilités WordPress critiques qui nécessitent une mise à jour immédiate, il faut mettre à jour Langflow vers la version 1.3.0 ou ultérieure (corrige CVE-2025-3248).
• Restreindre l’accès Docker : ne jamais exposer le socket Docker sans authentification ; utiliser des conteneurs non-root.
• Contrôler les accès aux répertoires de modèles : appliquer des permissions minimales (least privilege) sur les dossiers contenant les poids et jeux de données.

Détection et réponse adaptées

Les attaques agentiques exigent une détection plus rapide que les attaques humaines. Voici quelques recommandations :

1. Surveiller les comportements anormaux : exécutions massives de scripts Python, accès à procfs, tentatives de chargement de binaires via curl/wget.
2. Déployer des solutions de BAS (Breach and Attack Simulation) : tester régulièrement vos règles SIEM/EDR face à des scénarios agentiques.
3. Mettre en place une sauvegarde hors ligne des modèles et jeux de données critiques, avec versioning.
4. Segmenter les réseaux : isoler les environnements de développement, d’entraînement et de production IA.

Préparation organisationnelle

• Sensibiliser les équipes aux risques spécifiques des attaques agentiques, par exemple en consultant le guide des meilleurs livres cybersécurité pour renforcer leurs connaissances.
• Réaliser des exercices de crise incluant la perte d’un modèle d’IA.
• Collaborer avec l’ANSSI et les CERT sectoriels pour échanger sur les menaces émergentes.

Conclusion : agir face à la menace agentique

JadePuffer et EncForge marquent une étape significative dans l’évolution des cyberattaques : des agents autonomes capables de s’adapter en temps réel et de cibler les actifs les plus précieux des organisations. Le ransomware n’est plus seulement une menace pour les données classiques, mais désormais pour l’infrastructure même de l’intelligence artificielle. Pour les entreprises françaises, l’enjeu est double : protéger des investissements lourds et respecter les obligations réglementaires. Il ne s’agit pas d’une menace lointaine, mais d’une réalité observée. Agissez dès maintenant en cartographiant vos actifs IA, en durcissant vos environnements et en testant votre capacité de détection face à des scénarios agentiques. La résilience passe par une anticipation continue.