O agente autónomo de ameaças conhecido como JadePuffer regressou com uma nova arma: o EncForge, um ransomware desenvolvido especificamente para cifrar e destruir infraestruturas de inteligência artificial. Depois de ter protagonizado, em julho de 2026, aquele que os investigadores da Sysdig consideram o primeiro ataque de ransomware integralmente conduzido por um agente de linguagem natural (LLM), o mesmo operador voltou ao mesmo sistema comprometido — mais preparado, mais preciso e com um arsenal tecnológico dedicado exclusivamente ao ecossistema de IA/ML. A evolução desta ameaça representa um ponto de inflexão para qualquer organização que desenvolva ou utilize modelos de inteligência artificial.
Em resumo: o JadePuffer — o agente de ameaça autónomo por IA que a Sysdig identificou como o primeiro caso de “ransomware agêntico” — regressou ao mesmo servidor Langflow comprometido, agora com o EncForge, um ransomware escrito em Go e concebido de raiz para destruir infraestrutura de IA: pesos de modelos, bases de dados vetoriais, datasets de treino e índices de embeddings, cobrindo cerca de 180 formatos de ficheiro. A entrada foi de novo pela CVE-2025-3248 (Langflow, CVSS 9,8). O alvo é aquilo que uma organização não consegue restaurar a partir de um backup comum: um modelo treinado, cujo custo pode ultrapassar os 500 mil dólares. A defesa passa por atualizar o Langflow, isolar backups de modelos e dados, e limitar a exposição de serviços à internet.
De ataque pioneiro a ameaça especializada
Recordando o caso original: no início de julho, a Sysdig documentou o JadePuffer como o primeiro ataque de ransomware operado inteiramente por um agente de IA, que encadeou de forma autónoma todas as fases da intrusão. É a esse mesmo sistema que o operador regressou agora — desta vez com uma arma feita à medida.
A 1 de julho de 2026, a equipa de investigação de ameaças da Sysdig (TRT) documentou o JadePuffer, um agente autónomo de ameaças que explorou a framework Langflow através da vulnerabilidade CVE-2025-3248, encadeando de forma autónoma reconhecimento, roubo de credenciais, movimento lateral e um manual de extorsão destrutivo contra um servidor MySQL e um serviço Alibaba Nacos.
Os investigadores identificaram o que acreditam ser o primeiro caso documentado de uma operação de ransomware conduzida inteiramente por um agente LLM. O agente adaptou-se a falhas durante a intrusão, tal como um operador humano faria face a obstáculos — numa sequência, passou de um início de sessão falhado a uma correção funcional em 31 segundos.
Após a publicação da investigação inicial, a 3 de julho de 2026, o JadePuffer regressou à mesma instância Langflow com uma capacidade materialmente mais avançada: onde a campanha anterior usava scripts Python improvisados, o operador passa agora a utilizar o EncForge, um ransomware em Go, compilado e comprimido com UPX, construído especificamente para infraestruturas de IA e aprendizagem automática.
EncForge: ransomware desenhado para destruir IA
O binário tem como alvo aproximadamente 180 extensões de ficheiro, numa abrangência deliberada de toda a pilha de IA/ML moderna, incluindo checkpoints de modelos, bases de dados vetoriais, conjuntos de dados de treino e índices de embeddings em praticamente todos os formatos atuais.
Os formatos visados incluem checkpoints PyTorch e TensorFlow, pesos HuggingFace SafeTensors, modelos quantizados GGUF do llama.cpp, índices FAISS, conjuntos de dados Apache Parquet e TFRecord, e arrays NumPy. A ajuda de linha de comandos inclui ainda adaptadores LoRA e ficheiros GGML legados como exemplos de alvos adicionais, o que a Sysdig interpreta como prova de que o ransomware foi deliberadamente construído para ambientes de IA, e não como um cifrador genérico de ficheiros.
O EncForge utiliza o algoritmo AES-256 em modo contador para cifrar os ficheiros num esquema híbrido, em que a chave simétrica é protegida com uma chave pública RSA-2048. Para melhorar o desempenho, o malware cifra apenas partes selecionadas de cada ficheiro. Os ficheiros cifrados recebem a extensão .locked e é deixada uma nota de resgate a notificar a vítima do ataque.
Como o ataque se desenrolou: adaptação em tempo real
A entrada foi, novamente, pela CVE-2025-3248, uma falha de autenticação em falta no endpoint de validação de código do Langflow, que a CISA adicionou ao seu catálogo de Vulnerabilidades Conhecidas Exploradas em maio de 2025. Uma vez dentro, o agente executou a rotina de reconhecimento e recolha de credenciais já observada na primeira campanha, tendo depois descoberto um socket Docker montado e avançado para obter o payload de ransomware.
Quando a tentativa inicial de descarregar o payload falhou, o operador desenvolveu e implementou iterativamente seis scripts Python ao longo de apenas cinco minutos, sendo o último a resolver os problemas de entrega. Esta capacidade de autorreparação em tempo real distingue o JadePuffer de qualquer ferramenta de ataque automatizada convencional: o agente raciocina sobre os erros e adapta-se, sem intervenção humana.
A CVE-2025-3248 é uma falha crítica de execução remota de código não autenticado no Langflow, com pontuação de 9,8 no CVSS, que executa Python não confiável através de exec() sem autenticação nem sandbox. A 5 de maio de 2025, a CISA adicionou a vulnerabilidade ao seu catálogo de Vulnerabilidades Conhecidas Exploradas, confirmando exploração ativa na natureza.
O novo paradigma: IA a atacar IA
Nenhuma das técnicas individuais usadas pelo JadePuffer é nova ou sofisticada. O que é notável é que um modelo de IA as encadeou numa operação de ransomware completa contra infraestruturas expostas à internet. O limiar de competências para executar ransomware desceu ao custo de operar um agente — e se esse agente utilizar credenciais roubadas via LLMjacking, o custo para o atacante aproxima-se de zero.
O ransomware agêntico é um ataque de extorsão em que um agente LLM, em vez de um operador humano, planeia e executa toda a intrusão: reconhecimento, roubo de credenciais, movimento lateral, escalada de privilégios e cifragem final. As regras de deteção construídas para velocidade humana podem não detetar o ritmo de um agente.
De acordo com o relatório de Segurança na Nuvem de 2025 da Orca Security, 84% das organizações utilizam ferramentas relacionadas com IA na nuvem e 62% tinham pelo menos um pacote de IA vulnerável nos seus ambientes. Estes números sublinham a escala da superfície de ataque que o JadePuffer e ameaças similares podem explorar.
Porque é que isto importa
Para Portugal e para o espaço europeu, este desenvolvimento tem implicações diretas. O Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para o ordenamento jurídico português, obriga as entidades essenciais e importantes — incluindo prestadores de serviços digitais e operadores de infraestruturas críticas — a implementar medidas de gestão de risco de cibersegurança, nomeadamente no que respeita à continuidade operacional e à proteção de ativos de informação. A destruição de conjuntos de dados de treino, modelos e bases de dados vetoriais por um ransomware como o EncForge pode comprometer irreversivelmente sistemas de IA em produção, causando impactos que vão muito além da indisponibilidade temporária de serviços.
O RGPD também é relevante aqui: bases de dados vetoriais e conjuntos de dados de treino podem conter dados pessoais. A sua cifragem ou destruição constitui um incidente de segurança que obriga à notificação à autoridade de controlo (em Portugal, a CNPD) no prazo de 72 horas, caso envolva risco para os direitos e liberdades dos titulares dos dados. A rapidez com que o JadePuffer atua — menos de um minuto para ultrapassar obstáculos técnicos — torna a deteção precoce absolutamente crítica.
Os defensores devem esperar que o volume e a amplitude destas campanhas aumentem à medida que as ferramentas agênticas amadurecem, e devem tratar servidores de aplicações expostos, repositórios de configuração sem proteção suficiente e contas de administração de bases de dados voltadas para a internet como as primeiras superfícies a serem atacadas. Para as PME portuguesas que adotam ferramentas de IA no seu dia a dia, a mensagem é clara: atualizar imediatamente qualquer instância Langflow, rever a exposição de portas e serviços à internet, e garantir backups isolados de modelos e dados de treino não é uma opção — é uma necessidade urgente.
Perguntas frequentes
O que é o JadePuffer?
É o nome dado pela Sysdig a um agente de ameaça autónomo, movido por um modelo de IA (LLM), que conduz ataques de ransomware de ponta a ponta — da recolha de informação à encriptação — com intervenção humana mínima. A Sysdig classificou-o como o primeiro caso documentado de “ransomware agêntico”.
O que é o EncForge?
É o novo ransomware do JadePuffer: um binário compilado em Go, concebido especificamente para localizar e cifrar ficheiros de infraestrutura de inteligência artificial — pesos de modelos, bases de dados vetoriais, datasets de treino e índices de embeddings —, abrangendo cerca de 180 formatos de ficheiro do ecossistema de IA/ML.
Como é que o ataque começa?
Através da exploração da CVE-2025-3248, uma falha crítica (CVSS 9,8) de execução remota de código sem autenticação no Langflow, uma plataforma de orquestração de fluxos de IA. Esta vulnerabilidade está no catálogo de falhas ativamente exploradas da CISA desde maio de 2025.
Porque é que este ataque é tão perigoso?
Porque visa aquilo que uma organização não consegue simplesmente restaurar a partir de um backup comum: um modelo de IA treinado, cujo desenvolvimento pode custar mais de 500 mil dólares em computação e engenharia. Além disso, demonstra que a autonomia da IA está a baixar a barreira técnica necessária para conduzir ataques complexos.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Sysdig Threat Research Team, Infosecurity Magazine, Dark Reading e Forbes.