ENCFORGE Ransomware markiert eine neue Eskalationsstufe: Erstmals verschlüsselt eine Schadsoftware gezielt die Modellgewichte, Vektor-Indizes und Trainingsdaten von KI-Systemen. Hinter der Kampagne steckt der als JADEPUFFER verfolgte Angreifer, der laut Sicherheitsforschern von Sysdig weitgehend agentisch – also über einen autonomen KI-Agenten – vorgeht. Für Unternehmen mit eigener KI-Infrastruktur ist das ein Weckruf.
ENCFORGE Ransomware nimmt KI-Infrastruktur ins Visier
Der Einstieg gelingt über eine bekannte Lücke im Open-Source-Werkzeug Langflow. CVE-2025-3248 betrifft alle Langflow-Versionen vor 1.3.0 und erlaubt es, über einen ungeschützten Endpunkt beliebigen Python-Code ohne Anmeldung auszuführen. Der Fehler trägt den CVSS-Wert 9.8 und steht seit dem 5. Mai 2025 in der Liste bekannter ausgenutzter Schwachstellen (KEV) der US-Behörde CISA. Neu ist nicht die Lücke, sondern was der Angreifer daraus macht.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Nach dem Zugriff lädt JADEPUFFER die eigens entwickelte Ransomware ENCFORGE nach – ein in Go kompiliertes Programm, das rund 180 Dateiendungen aus der KI-Welt kennt. Dazu zählen PyTorch- und TensorFlow-Checkpoints, SafeTensors-Dateien von Hugging Face, GGUF- und GGML-Gewichte für llama.cpp sowie FAISS-Vektor-Indizes und Trainingsdaten in den Formaten Parquet, Arrow und TFRecord. Genau diese Artefakte werden verschlüsselt.
Warum der Schaden so hoch ausfällt
Ein verschlüsseltes KI-Modell lässt sich nicht mit einem Klick wiederherstellen. Wer die Gewichte verliert und kein sauberes Backup hat, muss Training oder Fine-Tuning wiederholen – das kostet Wochen bis Monate Rechenzeit. Die Forscher beziffern den finanziellen Schaden je nach Modellgröße auf 75.000 bis 500.000 US-Dollar pro Modell.
Besonders brisant: Der Angreifer arbeitet weitgehend automatisiert. Laut Sysdig passte sich der KI-Agent bei technischen Problemen in Echtzeit an und fand die passende Lösung in unter einer Minute. Dieselbe Handschrift zeigte sich schon beim Hugging-Face-Vorfall mit einem autonomen KI-Agenten – die Angreifer-Seite skaliert ihre Fähigkeiten mit KI genauso wie die Verteidiger.
So schützen Sie Ihre KI-Modelle
Die Gegenmaßnahmen sind klassisch, aber wirksam. Aktualisieren Sie Langflow auf Version 1.9.1 oder die aktuelle unterstützte Ausgabe – das schließt CVE-2025-3248 samt weiterer kritischer Lücken. Betreiben Sie Langflow und ähnliche KI-Werkzeuge niemals ungeschützt im Internet, sondern hinter Authentifizierung und Netzsegmentierung.
- Backups trennen: Modellgewichte und Trainingsdaten gehören in ein Offline- oder unveränderliches Backup, das Ransomware nicht erreicht.
- Zugriffe minimieren: KI-Endpunkte nur intern erreichbar machen, Standard-Ports und offene Validierungs-Endpunkte prüfen.
- Monitoring: Ungewöhnliche Massen-Verschlüsselung von .safetensors-, .gguf- oder .parquet-Dateien als Alarm definieren.
Wie schnell Ransomware ganze Infrastrukturen lahmlegt, zeigte zuletzt der Fall FortiBleed mit tausenden gekaperten Firewalls. Wer seine wertvollsten Daten – und dazu zählen KI-Modelle inzwischen – zuverlässig sichern will, findet in unserem Ratgeber zu verschlüsselten USB-Sticks und externen SSDs praxistaugliche Optionen für ein sauberes Offline-Backup.
Quellen
- The Hacker News: New ENCFORGE Ransomware Targets AI Model Files in Langflow RCE Attack
- Sysdig: JADEPUFFER evolves – deploys ransomware built to destroy AI models
- BleepingComputer: JadePuffer agentic attacks now target AI model data with ransomware
- Help Net Security: JadePuffer returns with ransomware built to target AI models
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden