El agente autónomo de inteligencia artificial conocido como JadePuffer ha evolucionado sus capacidades mediante la incorporación de un ransomware personalizado denominado EncForge, diseñado específicamente para atacar infraestructuras de inteligencia artificial y aprendizaje automático.
A diferencia de las familias tradicionales de ransomware, que cifran documentos, bases de datos y archivos empresariales generales, EncForge se enfoca en activos fundamentales para el desarrollo y funcionamiento de sistemas de IA, incluyendo conjuntos de entrenamiento, bases de datos vectoriales, pesos de modelos e índices de embeddings.
La aparición de esta amenaza demuestra cómo los ataques basados en agentes autónomos comienzan a dirigirse contra el ecosistema de inteligencia artificial, donde la pérdida de datos puede representar meses de trabajo, grandes inversiones económicas y daños operativos difíciles de recuperar.
¿Qué es JadePuffer?
JadePuffer es considerado un actor de amenaza basado en agentes, también conocido como Agentic Threat Actor o ATA.
Este concepto describe una amenaza capaz de utilizar inteligencia artificial para ejecutar de forma autónoma diferentes etapas de una intrusión, desde la identificación inicial de vulnerabilidades hasta la instalación y ejecución de ransomware.
El agente puede analizar los resultados de sus propias acciones, detectar errores técnicos, modificar sus métodos y probar nuevas alternativas sin depender constantemente de instrucciones humanas.
Durante ataques recientes, JadePuffer demostró la capacidad de adaptarse en tiempo real a problemas encontrados durante la intrusión y desarrollar soluciones funcionales en cuestión de minutos.
Esta capacidad de razonamiento operativo convierte a los agentes autónomos maliciosos en una amenaza diferente a las herramientas automatizadas tradicionales, que normalmente siguen instrucciones predefinidas y se detienen cuando aparece un error inesperado.
Explotación de una instancia vulnerable de Langflow
La intrusión más reciente comenzó mediante el acceso a una instancia de Langflow vulnerable a CVE-2025-3248.
Langflow es una plataforma utilizada para crear y gestionar flujos de trabajo relacionados con modelos de lenguaje e inteligencia artificial. Una instalación vulnerable o incorrectamente expuesta puede proporcionar un punto de entrada a sistemas donde se almacenan modelos, credenciales, datasets y servicios internos.
Tras conseguir acceso, el atacante realizó actividades de reconocimiento orientadas a identificar:
- Credenciales de servicios en la nube.
- Tokens de API.
- Variables de entorno.
- Servicios internos accesibles.
- Contenedores en ejecución.
- Directorios con modelos de inteligencia artificial.
- Bases de datos y sistemas de almacenamiento.
- Interfaces de administración expuestas.
Durante esta exploración se identificó un socket de Docker expuesto, lo que permitió obtener control con privilegios equivalentes a root sobre los contenedores y recursos relacionados.
Riesgo de exponer el socket de Docker
El socket de Docker permite comunicarse directamente con el servicio encargado de administrar contenedores.
Cuando este recurso se encuentra expuesto o puede ser utilizado desde un contenedor comprometido, un atacante puede crear nuevos contenedores, montar directorios del sistema anfitrión, acceder a archivos sensibles y ejecutar comandos con privilegios elevados.
En este ataque, el acceso al socket facilitó el movimiento desde la aplicación inicialmente comprometida hacia recursos internos con mayor nivel de privilegio.
Este escenario demuestra que una vulnerabilidad en una aplicación puede convertirse rápidamente en una toma de control completa cuando la arquitectura de contenedores no aplica aislamiento ni controles de acceso adecuados.
Adaptación autónoma durante el ataque
El primer intento de descargar y ejecutar el ransomware falló debido a problemas técnicos relacionados con la entrega del archivo.
En lugar de detener la operación, el agente modificó su estrategia y desarrolló seis scripts diferentes en Python durante aproximadamente cinco minutos.
Cada script representó una iteración destinada a resolver los errores encontrados en la versión anterior.
La versión final, denominada deploy.py v2, consiguió automatizar toda la secuencia de despliegue:
- Identificar el PID del proceso objetivo.
- Localizar el espacio de nombres del contenedor.
- Copiar el ransomware EncForge mediante el sistema de archivos
/proc. - Ejecutar inicialmente un análisis de prueba.
- Lanzar el proceso real de cifrado.
- Contar los archivos con extensión
.locked. - Verificar que la operación se había ejecutado correctamente.
El uso de /proc permitió transferir el binario a través de los límites entre espacios de nombres, evitando los problemas que habían impedido la entrega inicial.
Esta secuencia evidencia que el agente no se limitó a ejecutar una herramienta existente, sino que evaluó el entorno, desarrolló nuevas soluciones y verificó de forma automática el resultado del ataque.
EncForge: ransomware creado para entornos de IA
EncForge es un ransomware desarrollado en el lenguaje de programación Go.
El binario principal, identificado como lockd, se encuentra empaquetado mediante UPX, una técnica que puede reducir el tamaño del ejecutable y dificultar parcialmente su análisis estático.
El malware está configurado para localizar aproximadamente 180 extensiones de archivos, muchas de ellas asociadas directamente con herramientas, modelos y formatos utilizados en inteligencia artificial y machine learning.
Entre los principales objetivos se encuentran:
- Checkpoints de modelos de inteligencia artificial.
- Archivos SafeTensors.
- Modelos de PyTorch.
- Modelos de TensorFlow.
- Pesos en formatos GGUF y GGML.
- Índices vectoriales FAISS.
- Adaptadores LoRA.
- Conjuntos de datos de entrenamiento.
- Archivos Parquet.
- Archivos Apache Arrow.
- Registros TFRecord.
- Matrices y datos de NumPy.
- Bases de datos DuckDB.
- Índices de embeddings.
- Configuraciones de modelos.
- Datos utilizados durante procesos de ajuste fino.
La selección de extensiones demuestra que EncForge no es simplemente un ransomware genérico adaptado para servidores Linux.
La amenaza fue creada específicamente para identificar y destruir la disponibilidad de activos asociados con el desarrollo, entrenamiento y operación de modelos de inteligencia artificial.
¿Cómo cifra los archivos EncForge?
EncForge utiliza un esquema híbrido de cifrado.
Los archivos son cifrados mediante el algoritmo AES-256 en modo contador, mientras que la clave simétrica empleada durante el proceso es protegida utilizando una clave pública RSA-2048.
El uso de un esquema híbrido permite combinar la velocidad del cifrado simétrico con la protección proporcionada por criptografía asimétrica.
Para reducir el tiempo necesario y acelerar el impacto del ataque, el ransomware no cifra necesariamente el contenido completo de cada archivo.
En su lugar, puede cifrar únicamente secciones seleccionadas.
Esta técnica de cifrado parcial es común en ataques modernos, especialmente cuando los archivos objetivos son extremadamente grandes, como ocurre con datasets, checkpoints y pesos de modelos que pueden ocupar decenas o cientos de gigabytes.
Aunque solo una parte del archivo sea alterada, el modelo o dataset puede quedar completamente inutilizable.
Los archivos afectados reciben la extensión:
.lockedPosteriormente, el malware genera una nota de rescate que informa a la víctima sobre el cifrado y le asigna un identificador único.
Impacto sobre modelos de inteligencia artificial
El cifrado de activos de IA puede tener consecuencias especialmente graves.
Un modelo no representa únicamente un archivo almacenado en un servidor. Puede ser el resultado de semanas o meses de entrenamiento, limpieza de información, experimentación, ajuste fino y validación.
Entre los principales impactos se encuentran:
- Pérdida de pesos de modelos entrenados.
- Interrupción de aplicaciones basadas en IA.
- Eliminación de checkpoints necesarios para continuar entrenamientos.
- Pérdida de datasets procesados y etiquetados.
- Corrupción de índices vectoriales.
- Inoperatividad de sistemas de búsqueda semántica.
- Pérdida de adaptadores de ajuste fino.
- Interrupción de asistentes y agentes empresariales.
- Necesidad de reconstruir modelos desde versiones anteriores.
- Aumento de costos de infraestructura y cómputo.
- Retrasos en proyectos de investigación y desarrollo.
La recuperación puede requerir volver a ejecutar procesos de entrenamiento y ajuste fino, siempre que los datos originales todavía estén disponibles.
Dependiendo del tamaño y propósito del modelo, las pérdidas económicas podrían situarse entre 75,000 y 500,000 dólares por modelo, aunque el costo real puede ser mayor en sistemas especializados o desarrollados con información exclusiva.
Modelos, datasets e índices vectoriales como activos críticos
Los entornos de inteligencia artificial contienen diferentes tipos de información que deben considerarse activos críticos.
Pesos de modelos
Contienen los parámetros aprendidos durante el entrenamiento. Sin ellos, el modelo no puede producir los resultados para los que fue desarrollado.
Checkpoints
Permiten continuar un entrenamiento desde un punto anterior. Su pérdida obliga a reiniciar procesos que pueden consumir grandes cantidades de tiempo y recursos.
Conjuntos de entrenamiento
Incluyen datos recolectados, limpiados, transformados y etiquetados. En muchos casos, el costo de preparación de estos datos puede superar el costo del entrenamiento.
Bases de datos vectoriales
Almacenan representaciones numéricas utilizadas para búsquedas semánticas, sistemas RAG y asistentes empresariales.
Índices de embeddings
Permiten encontrar información relacionada dentro de grandes colecciones de documentos. Su pérdida puede dejar inoperativos sistemas internos de consulta y generación aumentada.
Adaptadores LoRA
Contienen ajustes específicos realizados sobre modelos base. Aunque suelen ser más pequeños que los modelos completos, pueden representar conocimiento especializado y horas de entrenamiento.
Sin evidencia de robo de información
Durante el análisis del incidente no se identificaron pruebas de que JadePuffer hubiera exfiltrado datos antes de iniciar el cifrado.
EncForge tampoco parece incorporar funciones propias para recolectar o transferir información fuera del entorno comprometido.
Esto sugiere que el objetivo principal observado fue afectar la disponibilidad de los activos y presionar a la organización mediante el cifrado.
Sin embargo, la ausencia de evidencia de exfiltración no garantiza que no haya ocurrido.
El acceso inicial y la exploración del entorno pudieron haber permitido al atacante consultar información sensible, credenciales o servicios internos antes del despliegue del ransomware.
Por este motivo, un incidente de este tipo debe investigarse como un compromiso completo de seguridad y no únicamente como una pérdida de disponibilidad.
Funciones para diferentes sistemas operativos
El análisis de la variante para Linux reveló la presencia de funciones relacionadas con mecanismos de recuperación utilizados en Windows, como la eliminación de copias de sombra y la desactivación de opciones de recuperación durante el arranque.
Aunque estas funciones no son aplicables directamente en Linux, su presencia sugiere que el código podría estar preparado para futuras variantes multiplataforma.
También existen referencias que podrían indicar el desarrollo de una versión para macOS, aunque hasta el momento esta variante no ha sido confirmada.
La inclusión de componentes para diferentes sistemas operativos podría indicar que EncForge se encuentra en desarrollo activo y que futuras versiones podrían dirigirse a estaciones de trabajo de científicos de datos, desarrolladores y equipos de investigación.
Indicadores de actividad sospechosa
Los equipos defensivos deben buscar señales relacionadas con el acceso inicial, la explotación de contenedores y el proceso de cifrado.
Entre los posibles indicadores se encuentran:
- Instancias de Langflow expuestas a internet.
- Versiones vulnerables anteriores a Langflow 1.3.0.
- Acceso inesperado al socket de Docker.
- Contenedores ejecutados con privilegios elevados.
- Procesos desconocidos escritos en Go.
- Binarios empaquetados con UPX.
- Scripts con nombres similares a
deploy.py. - Ejecución inesperada de scripts Python dentro de contenedores.
- Acceso anómalo a rutas bajo
/proc. - Creación masiva de archivos con extensión
.locked. - Lectura de directorios que contienen modelos o datasets.
- Enumeración de variables de entorno.
- Búsqueda de tokens y credenciales de nube.
- Creación de notas de rescate.
- Actividad de cifrado con alto consumo de CPU y disco.
- Procesos desconocidos accediendo a archivos de modelos.
Estos indicadores deben analizarse junto con los registros de aplicaciones, contenedores, servicios en la nube, sistemas de archivos y herramientas de monitoreo.
Recomendaciones de seguridad
Las organizaciones que utilicen Langflow, Docker o infraestructuras de inteligencia artificial deben aplicar controles específicos para reducir el riesgo.
Actualizar Langflow
Se recomienda utilizar Langflow 1.3.0 o una versión posterior, además de revisar si existen actualizaciones adicionales disponibles para todos los componentes relacionados.
Restringir el socket de Docker
El socket de Docker no debe exponerse dentro de contenedores salvo que sea estrictamente necesario.
Cuando una aplicación necesita interactuar con Docker, deben implementarse proxies de autorización, políticas de acceso y mecanismos que limiten las operaciones permitidas.
Ejecutar contenedores sin privilegios
Los contenedores de Langflow y otras aplicaciones de IA deben ejecutarse como usuarios no root.
También se deben evitar configuraciones como:
--privilegedy el montaje innecesario de directorios sensibles del sistema anfitrión.
Aplicar controles al sistema de archivos
Los directorios que almacenan pesos, checkpoints, datasets e índices vectoriales deben estar protegidos mediante controles de lectura y escritura.
Los servicios que solo necesitan consultar modelos no deberían tener permisos para modificarlos.
Mantener copias de seguridad aisladas
Las copias de seguridad deben mantenerse fuera del alcance directo del sistema productivo.
Se recomienda conservar:
- Versiones inmutables.
- Copias offline.
- Checkpoints históricos.
- Snapshots protegidos.
- Datasets originales.
- Archivos de configuración.
- Dependencias y código de entrenamiento.
Las organizaciones también deben probar periódicamente que la restauración funciona.
Separar entornos
Los entornos de experimentación, entrenamiento, desarrollo e inferencia no deberían compartir los mismos permisos, credenciales ni sistemas de almacenamiento.
La segmentación reduce la posibilidad de que una vulnerabilidad en una herramienta expuesta permita acceder a todos los activos de IA.
Supervisar actividades de agentes autónomos
Cuando se utilicen agentes de IA con capacidad para ejecutar comandos, crear código o administrar infraestructura, sus acciones deben quedar registradas.
También deben establecerse límites sobre:
- Comandos permitidos.
- Directorios accesibles.
- Credenciales disponibles.
- Conexiones de red.
- Herramientas ejecutables.
- Cambios en contenedores.
- Instalación de dependencias.
- Acceso a sistemas productivos.
La nueva superficie de ataque de la inteligencia artificial
JadePuffer y EncForge representan una evolución importante del ransomware.
Los atacantes ya no se limitan a utilizar inteligencia artificial para redactar mensajes de phishing o generar código malicioso.
Ahora pueden emplear agentes capaces de ejecutar intrusiones, interpretar errores, escribir nuevas herramientas y verificar de forma autónoma si el ataque tuvo éxito.
Al mismo tiempo, los objetivos también están cambiando.
Los modelos, datasets, embeddings, checkpoints y bases vectoriales se están convirtiendo en activos de alto valor, comparables con bases de datos financieras, sistemas de producción o repositorios de código fuente.
Las organizaciones que desarrollan o utilizan inteligencia artificial deben incorporar estos recursos a sus procesos de clasificación de información, gestión de riesgos, continuidad de negocio y respuesta a incidentes.
Conclusión
La evolución de JadePuffer con el ransomware EncForge demuestra que los ataques autónomos contra infraestructuras de inteligencia artificial ya no son un escenario teórico.
El agente fue capaz de explotar una aplicación vulnerable, buscar credenciales, descubrir servicios internos, abusar de un socket de Docker expuesto y modificar repetidamente su estrategia hasta desplegar correctamente el ransomware.
EncForge fue diseñado para cifrar los componentes más valiosos de un entorno de inteligencia artificial, incluyendo modelos, checkpoints, datasets, adaptadores e índices vectoriales.
La pérdida de estos activos puede provocar meses de retraso, elevados costos de recuperación y la interrupción total de servicios basados en IA.
Para reducir el riesgo, las organizaciones deben actualizar sus plataformas, restringir el acceso a Docker, ejecutar contenedores sin privilegios, proteger los directorios de modelos y mantener copias de seguridad aisladas e inmutables.
La seguridad de los entornos de inteligencia artificial debe tratarse como una prioridad operacional. Un modelo entrenado, un dataset procesado o una base vectorial ya no son simples archivos técnicos: son activos estratégicos y objetivos directos para nuevas generaciones de ransomware.
