Come CVE-2025-3248 offre agli attaccanti l'accesso iniziale ai server Langflow

Langflow, una piattaforma open-source utilizzata per costruire e orchestrare flussi di lavoro con agenti AI, è diventata il punto di ingresso per una nuova campagna ransomware. Secondo la ricerca di Sysdig, gli attaccanti stanno sfruttando CVE-2025-3248, una vulnerabilità in Langflow che consente loro di raggiungere istanze esposte ed eseguire codice senza bisogno di credenziali valide. Quel punto d'appoggio iniziale è lo stesso utilizzato in una precedente operazione da un gruppo di minacce che Sysdig monitora come JadePuffer, ma il payload distribuito attraverso di esso è cambiato radicalmente.

Ciò che rende questa campagna degna di nota non è solo la vulnerabilità in sé. È il fatto che una falla in uno strumento di sviluppo AI rappresenti ora un percorso comprovato e ripetibile verso l'infrastruttura di un'organizzazione, e che gli attaccanti la stiano trattando come una rampa di lancio per attacchi successivi sempre più gravi, anziché come un semplice colpo mordi e fuggi.

Dagli script di JadePuffer al ransomware compilato Encforge: come si è evoluto l'attacco

La precedente analisi di Sysdig sull'attività di JadePuffer aveva rilevato un approccio relativamente poco sofisticato: script improvvisati abbinati a funzioni di cifratura native del database per bloccare i dati dopo l'intrusione. Funzionava, ma era rozzo rispetto a ciò che i gruppi ransomware dedicati in genere distribuiscono.

L'ondata più recente mostra un chiaro salto di qualità. Invece di affidarsi a script assemblati al momento, l'attaccante ora introduce un binario ransomware compilato chiamato Encforge una volta ottenuto l'accesso tramite la vulnerabilità di Langflow. Questo binario è progettato per attraversare il filesystem in modo metodico e prendere di mira specificamente gli asset di machine learning, anziché cifrare file generici sperando che qualcosa di prezioso venga coinvolto nel processo.

Sysdig ha collegato la più recente attività di Encforge alla precedente campagna di JadePuffer attraverso un dettaglio nella nota di riscatto: un indirizzo di contatto riutilizzato in entrambe le operazioni. Questa sovrapposizione suggerisce che lo stesso gruppo, o perlomeno la stessa infrastruttura e la stessa linea di strumenti, stia perfezionando il proprio approccio nel tempo anziché ripartire da zero. Il passaggio da script improvvisati a un binario creato appositamente rappresenta un significativo salto di maturità e segnala che il gruppo prevede di continuare a utilizzare questo metodo di accesso in futuro.

Perché i carichi di lavoro AI e ML stanno diventando bersagli ransomware

C'è un motivo per cui gli attaccanti stanno ora costruendo strumenti che prendono di mira specificamente gli asset di machine learning invece di cifrare qualsiasi file si trovi sul disco. L'infrastruttura AI spesso custodisce elementi costosi e lenti da riprodurre: modelli addestrati, configurazioni di pipeline, dataset e la logica di orchestrazione che li collega. Perdere l'accesso a tutto questo, o vederlo esposto e minacciato con un messaggio di estorsione, può essere dirompente per un'organizzazione quanto perdere database di clienti o documenti finanziari.

Le piattaforme AI self-hosted come Langflow vengono inoltre spesso distribuite rapidamente, a volte da team più concentrati a far funzionare un flusso di lavoro che a blindare l'esposizione di rete. Questa combinazione, dati preziosi più distribuzione affrettata, è esattamente il profilo che gli operatori ransomware cercano. Questa campagna è un esempio concreto di una tendenza più ampia che Sysdig ha documentato: i sistemi AI non sono solo strumenti utili tanto per i difensori quanto per gli attaccanti, ma stanno diventando bersagli a pieno titolo. La copertura di un attacco ransomware AI completamente autonomo da parte dello stesso team di ricerca mostra l'altro lato di questo cambiamento, in cui gli agenti AI vengono utilizzati per condurre intere intrusioni con una supervisione umana minima. Insieme, questi risultati indicano che l'infrastruttura AI si trova ora a entrambi i capi dell'equazione ransomware, come bersaglio e come strumento.

Passi pratici per mettere in sicurezza gli strumenti AI self-hosted e i carichi di lavoro cloud

Le organizzazioni che eseguono Langflow o piattaforme di orchestrazione AI simili dovrebbero trattarle con la stessa disciplina di sicurezza di qualsiasi server esposto a Internet, non come un sandbox sperimentale. Ciò significa applicare la patch per CVE-2025-3248 il prima possibile e verificare se qualche istanza Langflow è raggiungibile da Internet pubblica senza una chiara ragione aziendale.

Oltre all'applicazione delle patch, segmentate i carichi di lavoro AI separandoli dalle reti di produzione più ampie, in modo che un'istanza compromessa non possa facilmente spostarsi lateralmente verso altri sistemi. Mantenete backup offline o immutabili dei modelli addestrati e delle configurazioni di pipeline in modo specifico, poiché sono ormai bersagli ransomware dimostrati. Monitorate l'attività insolita di attraversamento del filesystem e la comparsa di binari inaspettati sui server che ospitano strumenti AI, poiché è esattamente il comportamento osservato da Sysdig con Encforge.

Cosa significa per voi

Se la vostra organizzazione ha distribuito Langflow, o qualsiasi piattaforma simile di sviluppo AI self-hosted, questa campagna è un segnale diretto per verificare subito la vostra esposizione, anziché dopo un incidente. La catena di exploit del ransomware Langflow CVE osservata qui non ha richiesto tecniche avanzate per raggiungere le vittime, solo un'istanza non patchata esposta su Internet. Per i team di sicurezza, la lezione è che gli strumenti AI devono essere inventariati, patchati e monitorati con lo stesso rigore di qualsiasi altra infrastruttura critica, e non trattati come un sistema sperimentale a priorità inferiore.

Punti operativi concreti

  • Applicate immediatamente la patch a qualsiasi distribuzione Langflow per CVE-2025-3248 e verificate che la correzione sia stata applicata su tutte le istanze, inclusi gli ambienti di test o staging.
  • Verificate quali piattaforme AI e ML sono esposte a Internet pubblica e limitate l'accesso ovunque possibile.
  • Eseguite il backup di modelli addestrati, configurazioni di pipeline e dataset separatamente dai backup generici dei file, poiché ora sono bersagli ransomware specifici.
  • Prestate attenzione ai segnali di binari compilati o attività insolite del filesystem sui server che ospitano flussi di lavoro AI, che potrebbero indicare una compromissione in corso.

L'ascesa di ransomware creati specificamente per colpire gli asset AI dimostra che queste piattaforme non sono più un angolo di nicchia della rete. Trattatele come l'infrastruttura critica che sono diventate.