JADEPUFFER secondo la denominazione di Sysdig. Nessuna attribuzione a un paese o a un gruppo noto; il collegamento con la campagna precedente si basa sullo stesso indirizzo di contatto estorsivohigh
Il ransomware che prende di mira i modelli: dentro ENCFORGE
Il 20 luglio 2026 il team di ricerca di Sysdig ha pubblicato l'analisi di ENCFORGE, un payload di cifratura distribuito con il nome «lockd» e attribuito all'attore che i ricercatori chiamano JADEPUFFER. Il dato che rende questo caso diverso dagli altri è l'elenco dei bersagli: il binario prende di mira circa 180 estensioni di file, fra cui quelle tipiche dei modelli addestrati e degli archivi vettoriali. Non c'è esfiltrazione, non c'è un sito di leak, non c'è doppia estorsione: solo cifratura. La leva non è la minaccia di pubblicare, è che un modello messo a punto in mesi di lavoro spesso non si ripristina da un backup di codice.
La porta d'ingresso è vecchia di più di un anno
Il punto di partenza non è una novità: CVE-2025-3248, la vulnerabilità di Langflow che riguarda l'endpoint /api/v1/validate/code e consente l'esecuzione di codice senza autenticazione. È nel catalogo CISA delle vulnerabilità sfruttate attivamente da maggio 2025.
Su queste pagine abbiamo già raccontato la famiglia di difetti che affligge Langflow. Questa storia non parla della falla: parla di cosa ci passa attraverso oggi, quattordici mesi dopo, e di come è cambiato il mestiere di chi entra.
Che cosa cifra, esattamente
Il payload analizzato da Sysdig si chiama ENCFORGE e viene distribuito con il nome lockd. È un binario Go compilato staticamente, compresso con UPX. La cifratura combina AES-256-CTR con incapsulamento della chiave in RSA-2048, opera per regioni del file e non sull'intero contenuto — una scelta che serve a essere veloci su file molto grandi — e rinomina i risultati con estensione .locked.
Il numero che conta è però un altro: secondo il report, «the binary targets approximately 180 file extensions». Nella campagna precedente, di inizio luglio, la stima era intorno a 140. L'elenco è cresciuto, e la direzione in cui è cresciuto è la notizia.
Fra le estensioni indicate esplicitamente dai ricercatori ci sono .ckpt, .h5, .onnx, .pb, .pkl, .pt, .pth, .safetensors, .ggml, .gguf, .faiss, .arrow, .parquet, .tfrecord, .npy, .npz, .vec, .duckdb. Sono i formati dei pesi di un modello, degli indici vettoriali che alimentano la ricerca semantica, dei dataset in formato colonnare. Il dettaglio che toglie ogni dubbio sull'intenzionalità: l'opzione --include del binario usa come esempio nella propria documentazione '*.lora,*.ggjt' — due formati che nessuno inserirebbe per caso.
Perché l'assenza di doppia estorsione è il punto
Da anni il modello dominante è la doppia estorsione: si rubano i dati, si cifrano i sistemi, e si minaccia di pubblicare. Il ricatto sta nella vergogna e nella sanzione, più che nel ripristino.
ENCFORGE fa il contrario. Sysdig sottolinea che nel binario non c'è «no network capability, outbound dial, net/http, cloud storage client, or staging logic of any kind». Nessun sito di leak, nessun portale su Tor, nessuna evidenza di esfiltrazione. È estorsione semplice, il modello che si riteneva superato.
Ha senso solo se chi lo ha costruito ha fatto un ragionamento preciso su cosa vale davvero, in un ambiente di sviluppo AI, per la vittima. Il codice sorgente è quasi sempre su un sistema di versionamento, quindi cifrarlo produce un fastidio. I dati grezzi spesso si riscaricano. Ma un modello messo a punto — settimane di calcolo, un dataset ripulito a mano, iperparametri trovati per tentativi — vive frequentemente in un solo posto, e quel posto è il disco della macchina che lo serve. Il report è esplicito: i modelli cifrati «often cannot» essere ripristinati da backup.
L'aspetto che i ricercatori chiamano «agentico»
Il nome che Sysdig usa per l'attore, JADEPUFFER, è legato al modo in cui l'attacco viene condotto. Nella campagna di inizio luglio, i ricercatori hanno osservato l'operazione andare «from a failed login to a working fix in 31 seconds»: un errore, una correzione, un nuovo tentativo, senza le pause che caratterizzano il lavoro di una persona.
Nella campagna di luglio il comportamento si ripete su un problema più complesso. Per uscire dal container e raggiungere l'host, l'operazione produce sei script Python in successione, «converging on a working host-escape in five minutes and 24 seconds» — dalle 12:07:01 alle 12:12:28. Il container era configurato in modo permissivo (Privileged: true, PidMode: host, NetworkMode: host, con la radice del filesystem montata in scrittura), il che rende la fuga possibile; la velocità con cui viene trovata è ciò che i ricercatori giudicano anomalo.
- Maggio 2025La falla entra in KEV
CVE-2025-3248 è riconosciuta come sfruttata attivamente.
- 1 luglio 2026Prima campagna
1.342 configurazioni di servizio cifrate in un database, tabella di estorsione creata a fine corsa.
- 20 luglio 2026ENCFORGE
Sysdig pubblica l'analisi del nuovo payload e dell'elenco di estensioni.
C'è un limite che va dichiarato, e lo dichiarano gli stessi ricercatori: automatico non vuol dire autonomo. Come è stato osservato anche da altri analisti, l'infrastruttura e le credenziali iniziali le ha predisposte una persona. Quello che si vede automatizzato è la fase intermedia — adattarsi all'ambiente trovato — non l'intera operazione.
Cosa fare, in ordine di utilità
Chiedetevi dove vive l'unica copia dei vostri modelli. È la domanda che questo caso mette al centro. Se la risposta è «sul volume montato dal servizio che li serve», avete un singolo punto di rottura che nessuna politica di backup del codice copre. I pesi vanno trattati come dati di produzione: copia separata, su un sistema che il carico di lavoro non può scrivere.
Chiudete Langflow, e in generale gli strumenti di prototipazione, dietro autenticazione. CVE-2025-3248 è in KEV da oltre un anno e continua a essere una via d'ingresso perché questi strumenti nascono per stare su un portatile e finiscono su una macchina raggiungibile. Nessuna interfaccia di sviluppo dovrebbe rispondere direttamente da internet.
Rivedete i privilegi dei container che eseguono carichi AI. La configurazione osservata — privilegiato, spazio dei processi dell'host, rete dell'host, radice montata in scrittura — non è rara negli ambienti di data science, dove si accumula per comodità: serve un driver, serve un dispositivo, serve accedere a un percorso. Ogni singolo permesso ha avuto una ragione. Insieme, sono la fuga dal container.
Sui blocchi di cifratura, il segnale non è il consumo di CPU. La cifratura per regioni su file di grandi dimensioni produce un profilo di scrittura diverso dalla riscrittura completa. Il monitoraggio utile è quello che guarda quali file vengono riscritti e da quale processo, non quanto lavora la macchina.
Cosa non sappiamo
Non c'è attribuzione a un paese o a un gruppo noto: il legame fra le due campagne poggia in buona parte sullo stesso indirizzo di posta usato per il contatto estorsivo. Non è dichiarato quale modello linguistico sia stato impiegato. Non è noto il numero di vittime reali oltre alle istanze osservate da Sysdig, e l'esistenza di una versione per macOS è indicata come non confermata. Anche la stima di 75.000-500.000 dollari per ricostruire un modello è una valutazione dei ricercatori, non un dato rilevato su casi reali: la citiamo come ordine di grandezza dichiarato, non come misura.
