Il 20 luglio 2026 il threat actor agentic JadePuffer ha portato a termine un attacco che segna un punto di rottura nel ransomware targeting: il deploy di EncForge, payload specializzato nella cifratura di asset di intelligenza artificiale e machine learning. Secondo l'analisi del Sysdig Threat Research Team, l'operazione combina un vettore di ingresso in un framework di orchestrazione AI — Langflow, sfruttato tramite CVE-2025-3248 — con un ransomware Go-based che colpisce circa 180 estensioni file specifiche dello stack ML, dai checkpoint dei modelli ai database vettoriali. La posta in gioco non è il furto di dati: è la distruzione di asset irripristinabili, i cui costi di recupero oscillano tra i 75.000 e i 500.000 dollari per singolo modello.
- EncForge targetta circa 180 estensioni file dell'AI/ML stack, inclusi Parquet, Arrow, TFRecord, LoRA adapters e indici embedding, con algoritmi AES-256-CTR e RSA-2048.
- JadePuffer opera come Agentic Threat Actor: ha iterato sei script Python in cinque minuti e 24 secondi per correggere il fallimento iniziale del deploy, convergendo su deploy.py v2 con escape container funzionante.
- Il meccanismo di escape sfrutta /var/run/docker.sock esposto per creare container privilegiati con bind mount dell'host root e copia del binary attraverso procfs.
- Nessuna evidenza di esfiltrazione dati in EncForge: l'obiettivo è la cifratura pura di asset che i backup convenzionali non possono recuperare, con tempi di retraining stimati in mesi.
Da script a tooling compilato: l'evoluzione agentic di JadePuffer
JadePuffer è classificato come Agentic Threat Actor, un profilo operativo che distingue questo operatore dai gruppi ransomware tradizionali. La documentazione di Sysdig descrive cicli di diagnosi e correzione autonoma: nella campagna precedente, l'attore ha completato cicli failure-to-fix in 31 secondi. Nell'attacco EncForge del 20 luglio, l'iterazione è stata più complessa — sei script Python in cinque minuti e 24 secondi — ma ha mantenuto lo stesso pattern di auto-correzione in tempo reale.
Il payload finale, deploy.py v2, è un pipeline completamente autonoma che individua il PID target, copia EncForge attraverso il boundary dei namespace via procfs, esegue una scansione in modalità prova, avvia la cifratura live e infine conta i file con estensione .locked per verificare l'esecuzione. I commenti in natural language all'interno del codice — definiti "self-narrating payloads" dai ricercatori — confermano che l'automazione non è meccanica ma orientata a obiettivi, con step di verifica intermedia.
Il binary EncForge, alias 'lockd', è compilato in Go e packed con UPX. Secondo Sysdig, la sua struttura riflette uno sviluppo deliberato: non è uno script opportunistico adattato, ma un tooling costruito per l'obiettivo specifico. L'SHA-256 parziale recuperato è 8cb0c223b018cecef1d990ec81c67b826eb3c.
CVE-2025-3248 e la catena di compromissione in Langflow
Il vettore di ingresso è CVE-2025-3248, una vulnerabilità di missing authentication nell'endpoint /api/v1/validate/code di Langflow, inserita nel catalogo CISA KEV nel maggio 2025. Il framework di orchestrazione AI — usato per costruire pipeline di Retrieval-Augmented Generation e flussi di agenti LLM — rappresenta un ponte naturale verso l'infrastruttura downstream.
Secondo Michael Clark, Director of Threat Research presso Sysdig: "La combinazione di Langflow come vettore di ingresso e EncForge come payload non è casuale. I deployment Langflow siedono adiacenti all'infrastruttura che EncForge è progettato per distruggere". Le istanze compromesse ospitano tipicamente credenziali per database vettoriali, endpoint di modelli e storage di training set: una posizione che permette al threat actor di mappare e colpire asset al di là del container iniziale.
Dalla compromissione iniziale, JadePuffer ha sfruttato un Docker socket esposto in /var/run/docker.sock per creare un container privilegiato con parametri espliciti: PidMode impostato a 'host', bind mount di /:/host:rw, e flag Privileged attivo. Il binary lockd è stato copiato attraverso /proc/
Il mirino delle 180 estensioni: perché i backup non salvano i modelli
EncForge si distingue per la specificità del targeting. Secondo Sysdig: "Il binary targetta approssimativamente 180 estensioni file, con una copertura deliberatamente ampia dello stack AI/ML moderno, inclusi checkpoint dei modelli, database vettoriali, dataset di training e indici di embedding in quasi ogni formato corrente". La lista include Parquet, Apache Arrow, TFRecord, file NumPy, database DuckDB, LoRA adapters e formati GGML — una gamma che copre l'intero ciclo di vita del modello, dalla raccolta dati al deploy in produzione.
La cifratura opera con AES-256 in modalità counter, con chiave simmetrica protetta da chiave pubblica RSA-2048. Per ottimizzare le performance, EncForge cripta porzioni selezionate dei file anziché il contenuto integrale, e appende l'estensione .locked ai file processati. La variante Linux è confermata; il codice contiene riferimenti a funzioni anti-recovery tipiche di Windows — cancellazione shadow copy e disabilitazione boot recovery — ma non è confermata l'esistenza effettiva di una versione macOS, hinted ma non verificata.
Il dato che altera il threat model è l'assenza di meccanismi di data-stealing. EncForge non esfiltra: cifra e richiede riscatto. Il contatto estorsione e78393397@proton.me corrisponde alla campagna precedente di JadePuffer, confermando — come ha dichiarato Sysdig via HelpNetSecurity — che si tratta "dello stesso operatore con un toolkit materialmente aggiornato".
Cosa fare adesso
- Verificare l'esposizione di istanze Langflow: CVE-2025-3248 ha CVSS 9.8 CRITICAL e richiede autenticazione assente nell'endpoint /api/v1/validate/code; la presenza nel CISA KEV indica priorità di patch.
- Isolare o rimuovere l'esposizione di Docker socket (/var/run/docker.sock) dai container di orchestrazione AI: il bind mount rappresenta un vector di escape documentato e automatizzato in questo attacco.
- Rivedere la strategia di backup per asset AI/ML: i modelli addestrati, i checkpoint intermedi e i database vettoriali richiedono piani di recovery testati, non assumendo che i backup convenzionali coprano l'intero stack.
- Monitorare la presenza di binary con SHA-256 parziale corrispondente a 8cb0c223b018cecef1d990ec81c67b826eb3c e di script Python con pattern di self-narration e iterazione rapida nel cluster.
"Encrypted business files can be restored from backups, but encrypted production models often cannot. Not only can the ransom cost you millions of dollars, but rebuilding and retraining your models can cost $75,000 to $500,000 each."
Il costo dell'irreversibilità
L'attacco EncForge espone una frattura nel modello di disaster recovery delle organizzazioni AI-native. I dati aziendali cifrati da ransomware tradizionali sono recuperabili da backup; i modelli di produzione, no. Il retraining richiede compute, dati storici spesso non più disponibili nella stessa composizione, e mesi di engineering time. La stima di Sysdig — 75.000-500.000 dollari per singolo modello — non include il costo opportunità del downtime.
L'automazione agentic riduce il tempo di attacco a scala e permette di sfruttare vulnerabilità storiche — CVE-2025-3248 è stata divulgata mesi prima — con efficienza che un operatore umano non potrebbe replicare. Il task-id 'gcp_h1' nel codice di JadePuffer suggerisce, senza confermare, una campagna potenzialmente più ampia su infrastruttura Google Cloud Platform; il dossier non specifica la portata geografica o il numero di vittime oltre l'istanza Langflow documentata.
Non è noto se l'operatore abbia effettivamente percepito riscatti, né è verificabile il canale di distribuzione originale del binary lockd — l'URL C2 è parzialmente redatto nel report Sysdig. Ciò che è documentato è l'intenzionalità del targeting: l'ecosistema ML è mappato come superficie d'attacco a sé stante, con strumenti costruiti per le sue specifiche vulnerabilità di recovery.
FAQ
Perché EncForge è diverso da ransomware tradizionali?
Perché non cifra dati generici ma asset AI/ML specifici — circa 180 estensioni — e perché non include meccanismi di esfiltrazione. L'obiettivo è la distruzione di modelli che i backup convenzionali non possono ricostruire, spostando la leva di estorsione dalla minaccia di pubblicazione all'irreversibilità del danno.
Cosa rende JadePuffer "agentic" piuttosto che un gruppo ransomware standard?
La capacità documentata di auto-correzione in tempo reale: cicli di 31 secondi per diagnosi e fix nella campagna precedente, e sei iterazioni di script Python in poco più di cinque minuti per l'attacco EncForge. Il comportamento è orientato a obiettivi con verifica intermedia, non sequenziale rigido.
Il patch di CVE-2025-3248 è sufficiente a mitigare il rischio?
Il patch risolve il vettore di ingresso noto, ma l'analisi di Sysdig mostra che l'escape container sfrutta una configurazione errata separata — Docker socket esposto — che persiste indipendentemente dalla vulnerabilità Langflow. La mitigazione richiede entrambi: patch del framework e rimozione dell'esposizione del socket.
Fonti
- https://www.bleepingcomputer.com/news/security/jadepuffer-agentic-attacks-now-target-ai-model-data-with-ransomware/
- https://www.helpnetsecurity.com/2026/07/21/jadepuffer-encforge-ransomware/
- https://www.sysdig.com/blog/jadepuffer-evolves-the-agentic-threat-actor-deploys-ransomware-built-to-destroy-ai-models
- https://www.bleepingcomputer.com/
- https://www.bleepingcomputer.com/tutorials/
- https://www.bleepingcomputer.com/download/
- https://deals.bleepingcomputer.com/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.