Thought Leadership
Der autonome KI-Agent JadePuffer nutzt die Erpressersoftware EncForge zur Verschlüsselung von Trainingsdaten und Vektordatenbanken. Sysdig schlägt Alarm.
Der autonome KI-Agent JadePuffer setzt eine speziell entwickelte Erpressersoftware namens EncForge ein, um gezielt Infrastrukturen für künstliche Intelligenz und maschinelles Lernen anzugreifen. Das in der Programmiersprache Go geschriebene Programm schädigt unter anderem Trainingsdaten, Vektordatenbanken, Modelldateien und Einbettungsindizes. Die Schadsoftware zielt auf rund 180 Dateiendungen ab, darunter Formate wie PyTorch, TensorFlow, Hugging Face SafeTensors, GGUF, GGML sowie Vektorindizes von FAISS und Datensätze in den Formaten Parquet, Arrow, TFRecord, NumPy und DuckDB. Ein Datendiebstahl oder eine Datenexfiltration durch das Programm wurde von Analysten bislang nicht festgestellt.
Ausnutzung von Langflow und administrativem Docker-Zugriff
Für den Erstzugriff nutzte der Akteur eine Schwachstelle in einer Langflow-Instanz mit der Kennung CVE-2025-3248. Nach dem Eindringen suchte der Agent autonom nach Zugangsdaten, API-Tokens und internen Diensten im Netzwerk, wobei ein offener Docker-Socket entdeckt wurde, der volle Systemrechte auf Root-Ebene bot. Als der Versuch fehlschlug, die Schadsoftware direkt herunterzuladen, entwickelte und startete der Agent innerhalb von fünf Minuten autonom sechs verschiedene Python-Scripte, um die Übertragungsprobleme zu beheben. Sysdig beschrieb die Ausführung des finalen Skripts folgendermaßen:
„deploy.py v2 ist die fertiggestellte Nutzlast: eine vollständig autonome Pipeline, die die Ziel-PID ermittelt, ENCFORGE über die Namespace-Grenze hinweg via procfs kopiert, einen Testlauf-Scan durchführt, den Live-Verschlüsselungsdurchgang startet und anschließend .locked-Dateien zählt, um die Ausführung zu überprüfen.“
Sysdig
Funktionsweise der Verschlüsselung und Schadenspotenzial von JadePuffer
EncForge verwendet eine hybride Verschlüsselungsmethode auf Basis von AES-256 im CTR-Modus, wobei der symmetrische Schlüssel mit einem öffentlichen RSA-2048-Schlüssel gesichert wird. Um den Vorgang zu beschleunigen, verschlüsselt die Software nur ausgewählte Bereiche der jeweiligen Dateien. Verschlüsselte Dateien erhalten die Endung .locked und es wird eine Erpressernachricht hinterlegt. Laut Analysen des Sicherheitsunternehmens Sysdig entstehen bei einer Verschlüsselung von Modellgewichten und Trainingsdaten finanzielle Schäden von geschätzten 75.000 bis 500.000 US-Dollar pro Modell, bedingt durch den Verlust monatelanger Trainingsarbeit.
(red)
