Comment la CVE-2025-3248 donne aux attaquants un accès initial aux serveurs Langflow

Langflow, une plateforme open source utilisée pour créer et orchestrer des workflows d’agents IA, est devenue la porte d’entrée d’une nouvelle campagne de rançongiciel. D’après une étude de Sysdig, les attaquants exploitent la CVE-2025-3248, une faille dans Langflow qui leur permet d’atteindre les instances exposées et d’exécuter du code sans avoir besoin de disposer au préalable d’identifiants valides. Cette prise de pied initiale est la même que celle utilisée par un groupe de menace que Sysdig suit sous le nom de JadePuffer lors d’une opération antérieure, mais la charge utile délivrée via cette faille a radicalement changé.

Ce qui rend cette campagne notable, ce n’est pas seulement la vulnérabilité elle-même. C’est le fait qu’une faille dans un outil de développement d’IA constitue désormais une voie éprouvée et reproductible pour pénétrer l’infrastructure d’une organisation, et que les attaquants la considèrent comme une rampe de lancement pour des attaques de suivi de plus en plus graves, plutôt que comme un simple cambriolage éclair.

Des scripts JadePuffer au rançongiciel compilé Encforge : comment l’attaque a évolué

Lors des précédentes investigations de Sysdig sur l’activité de JadePuffer, l’approche observée était relativement peu sophistiquée : des scripts improvisés associés aux fonctions de chiffrement natives d’une base de données pour verrouiller les données après l’intrusion. Cela fonctionnait, mais restait rudimentaire par rapport à ce que déploient généralement les groupes de rançongiciel spécialisés.

La dernière vague montre une nette montée en gamme. Au lieu de s’appuyer sur des scripts assemblés à la volée, l’attaquant déploie désormais un binaire de rançongiciel compilé appelé Encforge une fois qu’il a obtenu un accès via la faille de Langflow. Ce binaire est conçu pour parcourir méthodiquement le système de fichiers et cibler spécifiquement les ressources d’apprentissage automatique, plutôt que de chiffrer des fichiers génériques en espérant que quelque chose de valeur soit pris dans le processus.

Sysdig a relié l’activité plus récente d’Encforge à la précédente campagne JadePuffer grâce à un détail présent dans la note de rançon : une adresse de contact qui a été réutilisée dans les deux opérations. Ce chevauchement suggère que le même groupe, ou du moins la même infrastructure et la même lignée d’outils, affine son approche au fil du temps plutôt que de repartir de zéro. Le passage de scripts improvisés à un binaire conçu à dessein représente un saut de maturité significatif, et indique que le groupe s’attend à continuer à utiliser cette méthode d’accès à l’avenir.

Pourquoi les charges de travail d’IA et de ML deviennent des cibles de rançongiciel

Il y a une raison pour laquelle les attaquants construisent désormais des outils qui ciblent spécifiquement les ressources d’apprentissage automatique au lieu de simplement chiffrer les fichiers qui se trouvent sur le disque. L’infrastructure d’IA héberge souvent des éléments coûteux et difficiles à reproduire : modèles entraînés, configurations de pipelines, jeux de données et logique d’orchestration qui les relie. Perdre l’accès à ces actifs, ou les voir exposés et menacés par un message d’extorsion, peut être tout aussi perturbateur pour une organisation que de perdre des bases de données clients ou des enregistrements financiers.

Les plateformes d’IA auto-hébergées comme Langflow sont également souvent déployées rapidement, parfois par des équipes davantage concentrées sur la mise en route d’un workflow que sur la sécurisation de l’exposition réseau. Cette combinaison, données précieuses et déploiement précipité, est exactement le profil recherché par les opérateurs de rançongiciel. Cette campagne est un exemple concret d’une tendance plus large que Sysdig documente : les systèmes d’IA ne sont pas seulement des outils utiles pour les défenseurs comme pour les attaquants, ils deviennent eux-mêmes des cibles. La couverture d’une attaque de rançongiciel entièrement autonome par IA par la même équipe de recherche montre l’autre versant de cette évolution, où des agents d’IA sont utilisés pour mener des intrusions entières avec peu de supervision humaine. Ensemble, ces constats indiquent que l’infrastructure d’IA se trouve désormais aux deux extrémités de l’équation du rançongiciel, à la fois comme cible et comme outil.

Mesures pratiques pour sécuriser les outils d’IA auto-hébergés et les charges de travail cloud

Les organisations qui utilisent Langflow ou des plateformes d’orchestration d’IA similaires devraient leur appliquer la même discipline de sécurité qu’à tout serveur exposé sur Internet, et non les traiter comme un bac à sable expérimental. Cela signifie appliquer le correctif pour la CVE-2025-3248 dès que possible, et vérifier si des instances Langflow sont accessibles depuis l’Internet public sans raison métier claire.

Au-delà du correctif, segmentez les charges de travail d’IA des réseaux de production plus larges afin qu’une instance compromise ne puisse pas facilement pivoter vers d’autres systèmes. Conservez des sauvegardes hors ligne ou immuables des modèles entraînés et des configurations de pipelines en particulier, car ils sont désormais des cibles avérées de rançongiciel. Surveillez les activités anormales de parcours du système de fichiers et l’apparition de binaires inattendus sur les serveurs hébergeant des outils d’IA, car c’est précisément le comportement observé par Sysdig avec Encforge.

Ce que cela signifie pour vous

Si votre organisation a déployé Langflow, ou toute autre plateforme de développement d’IA auto-hébergée similaire, cette campagne est un signal direct pour vérifier votre exposition maintenant plutôt qu’après un incident. La chaîne d’exploitation de la CVE du rançongiciel Langflow observée ici n’a pas nécessité de techniques avancées pour atteindre les victimes, seulement une instance non corrigée exposée sur Internet. Pour les équipes de sécurité, la leçon est que les outils d’IA doivent être inventoriés, corrigés et surveillés avec la même rigueur que toute autre infrastructure critique, et non traités comme un système expérimental de moindre priorité.

Points clés à retenir

  • Appliquez immédiatement le correctif pour la CVE-2025-3248 à tout déploiement Langflow et vérifiez que le correctif est appliqué sur toutes les instances, y compris les environnements de test ou de staging.
  • Auditez les plateformes d’IA et de ML exposées à l’Internet public, et restreignez l’accès partout où c’est possible.
  • Sauvegardez les modèles entraînés, les configurations de pipelines et les jeux de données séparément des sauvegardes de fichiers générales, car ils sont désormais des cibles spécifiques de rançongiciel.
  • Surveillez les signes de binaires compilés ou d’activité anormale du système de fichiers sur les serveurs hébergeant des workflows d’IA, ce qui peut indiquer une compromission en cours.

L’essor des rançongiciels conçus spécifiquement pour frapper les actifs d’IA montre que ces plateformes ne sont plus un recoin isolé du réseau. Traitez-les comme l’infrastructure critique qu’elles sont devenues.