El panorama de la ciberseguretat ha sumat una amenaça tan sofisticada com peculiar: ENCFORGE, un ransomware dissenyat específicament per destruir models d'intel·ligència artificial entrenats, però sense cap mecanisme per cobrar un rescat. Aquest programari maliciós, detectat per l'equip d'investigació de Sysdig, no busca diners: busca esborrar l'actiu més valuós de les organitzacions que inverteixen en IA. La pregunta és directa: quin sentit té un segrest de dades si l'atacant no les pot tornar?
ENCFORGE opera a través de CVE-2025-3248, una vulnerabilitat d'autenticació a Langflow que permet executar codi Python de forma remota. El mateix vector d'entrada es va utilitzar en dues campanyes separades: a la primera, l'agent va improvisar xifrant configuracions de Nacos amb funcions natives de MySQL; a la segona, ja portava un binari compilat en Go que escombra més de 180 extensions de fitxer. El que diferencia ENCFORGE d'altres famílies de ransomware és el seu focus quirúrgic: apunta a formats específics de l'ecosistema d'IA com PyTorch, TensorFlow, SafeTensors, GGUF, FAISS, Parquet i NumPy. Mentre que un ransomware genèric xifra tot el que troba, ENCFORGE els anomena explícitament, utilitzant adaptadors LoRA i pesos GGML com a exemples en les seves banderes. Això revela que qui va dissenyar aquesta eina coneix perfectament l'entorn que ataca.
El ransomware no inclou codi de xarxa. No hi ha trucades sortints, ni portal de pagament, ni fuita de dades; l'única pressió que exerceix és la destrucció. Utilitza AES-256-CTR amb una clau per execució embolicada en una clau RSA-2048 incrustada, optimitzant la velocitat per a fitxers grans. Michael Clark, líder de l'equip d'investigació de Sysdig, ho resumeix així: 'destrueix l'única cosa que una organització no pot simplement restaurar'. I és que, mentre que restaurar una base de dades des d'una còpia de seguretat del divendres costa un cap de setmana de transaccions, recuperar un model afinat entrenat implica tot allò après des d'aquell divendres, i no hi ha files per reproduir. Reconstruir un model llest per a producció pot costar entre 75.000 i 500.000 dòlars, segons estimacions de Sysdig, considerant GPU al núvol i hores d'enginyeria. I si les dades d'entrenament estan al mateix host que els pesos, la recuperació es bloqueja fins reconstruir el conjunt de dades.
Però hi ha un detall encara més ombrívol: a la primera campanya, la clau de xifratge es va generar aleatòriament, es va imprimir una vegada a la consola i mai es va guardar. Això va convertir el payload en un wiper amb aparença de rescat. Pagar no era una opció, i a la segona campanya el disseny segueix la mateixa filosofia. ENCFORGE no pot exfiltrar res, només destruir. Kayne McGladrey, membre sènior de l'IEEE, assenyala que els equips de seguretat perden aquestes batalles en classificar l'exposició sota l'encapçalament incorrecte: 'haurien de centrar-se en els riscos de negoci, no només en els riscos de ciberseguretat, perquè si no afecta les pèrdues financeres, ningú pressupostarà adequadament'. Un model destruït té un cost de reemplaçament conegut, i aquesta és la versió de la història que un CFO entén.
La guia oficial encara no s'ha posat al dia. El maig de 2025, la NSA, CISA i l'FBI van publicar 'AI Data Security', el document més autoritzat sobre el tema, que esmenta tres riscos: la cadena de subministrament de dades, les dades modificades maliciosament i la deriva de dades. Tots pregunten si les dades són fiables. ENCFORGE pregunta si encara existeixen. I la resposta per a moltes organitzacions podria ser que no.
L'incident també revela l'agilitat de l'atacant. Després de confirmar l'execució, l'agent va escombrar el host buscant claus al núvol, cadenes de connexió i tokens API, i va trobar el socket Docker a /var/run/docker.sock, que és funcionalment root. Quan va intentar descarregar el binari des del seu servidor C2, la descàrrega va fallar. En lloc de reintentar-ho, va canviar d'estratègia i va construir sis scripts Python a través del canal de Langflow, convergint en una escapada del contenidor en cinc minuts i 24 segons. A la primera campanya, aquest mateix comportament va ser un inici de sessió fallit diagnosticat i solucionat en 31 segons. El problema es va fer més difícil, però el mètode es va mantenir.
Sam Evans, ex CISO de Clearwater Analytics, ho posa en termes pressupostaris: 'En seguretat, tot es redueix al temps de permanència. Si un actor maliciós és al teu entorn durant un temps, el temps de permanència augmenta, per tant el radi d'explosió creix. La probabilitat que es converteixi en un incident material és exponencialment alta'. Mike Riemer, SVP de Grup de Seguretat de Xarxa a Ivanti, ha vist com aquest pivot s'ha convertit en estàndard: els venedors van endurir la porta principal, així que els atacants van deixar de trucar. 'No puc entrar per la porta principal, així que aconsegueixo la clau de la casa d'algú i entro per la porta del darrere', explica. Darrere seu hi ha tot allò que els equips assumeixen que està cobert perquè no està directament exposat a internet, però en realitat no ho està.
Ningú va afirmar que una màquina fes això sense supervisió. Un humà va apuntar l'atac, i tot després va funcionar sense ningú al teclat. Heath Renfrow, cofundador i CISO de Fenix24, assenyala que quan un agent comprimeix hores de treball de l'operador en minuts, 'els defensors perden temps valuós'. La porta portava oberta 14 mesos: CVE-2025-3248 té una puntuació CVSS de 9.8, CISA el va afegir al catàleg de vulnerabilitats explotades conegudes el 5 de maig de 2025, i Langflow el va corregir a la versió 1.3.0. Quan JADEPUFFER (el grup darrere) va tornar el juliol de 2026, el servidor portava més de 14 mesos des d'aquest llistat i ja havia estat documentat públicament com a víctima d'una bretxa.
Riemer posa un nombre a quant poc temps deixa això: 'Si publico un pedaç i un client no l'aplica en 72 hores, està obert a l'explotació, perquè així de ràpid poden fer-ho ara'. La majoria dels clients necessiten una setmana per pedaçar manualment. 72 hores contra 14 mesos: la bretxa deixa de llegir-se com un relliscar. Res en cap de les dues campanyes va ser nou. La primera va falsificar un token d'administrador de Nacos amb una clau de signatura per defecte pública des de 2020, va explotar CVE-2021-29441 (un bypass d'autenticació que Alibaba va pedaçar el 2021) i va trobar un magatzem MinIO amb credencials minioadmin:minioadmin. Sysdig va comptar més de 600 payloads, tots recolzant-se en una mala configuració coneguda o en un error pedaçat però exposat. La segona va afegir un socket Docker exposat. Cada feblesa era rutinària. Muntar-les a velocitat de màquina no ho era.
Langflow atrau aquesta atenció pel que conté. VentureBeat va informar el juny que aproximadament 7.000 instàncies estan exposades, la majoria a Amèrica del Nord, amb claus API de proveïdors, credencials al núvol i connexions en viu als magatzems de vectors que ENCFORGE va ser dissenyat per xifrar. CISA ha afegit cinc errors de Langflow al seu catàleg, dos d'ells aquest mes: CVE-2026-55255 (bypass entre inquilins, puntuació 9.9) i CVE-2026-0770 (execució de codi sense autenticació a través del paràmetre exec_globals, puntuació 9.8). Res d'això és un entorn exòtic. Una enquesta de Cloud Security Alliance a 418 professionals va trobar que el 82% de les organitzacions havien descobert agents d'IA que ningú coneixia, i el 65% havia gestionat un incident relacionat amb agents l'últim any.
McGladrey remunta el problema dels permisos a quatre dècades enrere: les empreses sempre clonaven el perfil d'accés d'un empleat al següent, i ara ho fan amb agents. Un agent 'fa el que sigui necessari per fer la seva feina, i utilitza molts més permisos dels que hauria, molt més que un humà, a causa de la velocitat d'escala i també de la intenció'. Les organitzacions que inverteixen en IA han de revisar la seva postura de seguretat abans que el consell d'administració pregunti. Evans recorda: 'Cada vegada que es publica un nou atac de ransomware a les notícies, rebem la consulta del consell: què estem fent al respecte? I si involucra IA, la seva por es dispara encara més'.
Hi ha cinc coses que val la pena respondre aquesta setmana, i cap requereix comprar res. Primer, actualitzar totes les instàncies de Langflow accessibles des d'internet a la versió compatible actual. Qualsevol versió anterior està exposada almenys a un dels cinc errors que CISA ha llistat. Segon, revisar les sol·licituds històriques a /api/v1/validate/code per al patró exec_globals. Tercer, treure el socket Docker dels contenidors d'aplicacions. Langflow no té motiu per crear-los; si el muntatge és necessari, utilitzar un proxy de socket que només permeti les trucades necessàries. Quart, nomenar les rutes dels artefactes de model al pla de còpia de seguretat. Les instantànies immutables de checkpoints, índexs de vectors i dades d'entrenament, amb restauració provada i dades fora del host que conté els pesos, són fonamentals. Cinquè, rotar cada credencial a la qual el host hagués pogut accedir, després treure les claus de proveïdor del seu temps d'execució. Pedaçar no revoca el que ja ha marxat. La primera campanya va collir credencials d'OpenAI, Anthropic i el núvol en segons. L'abast de les substitucions s'ha de gestionar amb un gestor de secrets.
Detectar la creació massiva de fitxers .locked en directoris que contenen .gguf, .safetensors, .ckpt o .faiss pot ser un indicador primerenc. Sysdig va publicar una regla YARA i ambdós hashes, sense cobertura antivirus en el moment de l'anàlisi. No es va publicar un recompte de fitxers, per tant el que està documentat és un pas de xifratge en viu, no una pèrdua mesurada. Un atacant que entra a través d'un framework d'IA exposat ara arriba amb una eina construïda per al que connecta, i aquests actius són els que una restauració no pot reproduir. Els artefactes de model han d'estar al pla de recuperació juntament amb les bases de dades.
En menys de tres setmanes entre els dos informes de Sysdig, aquest atacant va passar de Python improvisat a un bloquejador compilat. La velocitat no és l'únic factor preocupant: la precisió amb què ENCFORGE apunta als models d'IA mostra que els ciberdelinqüents han començat a entendre el valor real de les dades que roben (o destrueixen). Per a les empreses que desenvolupen aplicacions basades en IA, la lliçó és clara: la seguretat no es pot limitar a protegir la infraestructura tradicional. Cal blindar també els actius intangibles que diferencien l'organització al mercat.
A Q2BSTUDIO, com a empresa de desenvolupament de programari i tecnologia, entenem que la transformació digital impulsada per IA requereix un enfocament integral de ciberseguretat. No n'hi ha prou amb implementar solucions d'intel·ligència artificial avançades; cal protegir-les des del disseny. Oferim serveis de ciberseguretat i pentesting per identificar vulnerabilitats en entorns cloud AWS/Azure, aplicacions a mida i sistemes de BI/Power BI que integren models d'IA. A més, ajudem les organitzacions a automatitzar processos de forma segura, garantint que els agents d'IA no es converteixin en un vector d'atac. La prevenció, la monitorització contínua i la resposta ràpida són les claus per evitar que un ransomware com ENCFORGE converteixi l'actiu més valuós en cendres digitals.
L'amenaça d'ENCFORGE no és una anomalia; és un senyal del que està per venir. Els models d'IA entrenats amb milions de dòlars en dades i còmput s'han convertit en objectius principals. Les organitzacions han d'actuar ara, no quan el consell pregunti. Perquè, com demostra aquest cas, el rescat no sempre es pot pagar, i de vegades ni tan sols s'ofereix.
