Когато откупният софтуер се насочи към AI модели: Защита на веригата за възстановяване на изкуствения интелект и машинното обучение

Групите за рансъмуер винаги са следвали парите. С години това означаваше цели като банки и болници – организации с активи с висока стойност и чувствителни данни, които не можеха да си позволят прекъсване на работата. Сега това включва и AI моделите.

Злонамерен субект, когото екипът за изследване на заплахите на Sysdig (TRT) нарече JADEPUFFER, вече ни показа накъде се е насочило бъдещето на рансъмуера.

В рамките на няколко седмици JADEPUFFER премина от лошо изпълнено (макар и успешно) изнудване чрез бази данни с еднократни скриптове до внедряване на компилиран зловреден софтуер тип рансъмуер, създаден с една-единствена цел: унищожаване на активи за изкуствен интелект и машинно обучение (ML).

Тази градация ни показва какво атакуващите вече считат за ценно.

От импровизация до специализирано оръжие

Първата кампания на JADEPUFFER беше нескопосана, но сработи. Операторът проникна в инстанция на Langflow чрез CVE-2025-3248 – уязвимост за отдалечено изпълнение на код (RCE) без автентикация, която CISA добави към своя каталог с известни експлоатирани уязвимости (KEV) през май 2025 г.

Langflow е богата цел, тъй като съхранява ключове за доставчици на LLM, идентификационни данни за облака и се свързва с векторни бази данни и хранилища за обекти в средата на жертвата.

Оттам атакуващият се прехвърли към отделна производствена база данни и криптира 1342 конфигурационни елемента, използвайки вградената функция на самата база данни за Advanced Encryption Standard (AES) – AES_ENCRYPT().

Ето къде атаката се оказа малко недодялана: базата данни изглежда никога не е била ексфилтрирана преди унищожаването ѝ. Освен това ключът за криптиране е бил генериран произволно, отпечатан веднъж и никога не е бил запазен или изпратен накъдето и да било.

Бележката с искане за откуп твърдеше за един вид криптиране, но рансъмуерът всъщност използваше различен тип. Възстановяването на базата данни беше невъзможно, дори жертвата да беше платила.

Независимо дали това се дължеше на небрежност или безразличие, резултатът беше все същият – унищожение, а не изнудване.

Това, което направи тази операция забележителна, не беше самият рансъмуер, а фактът, че цялата операция беше ръководена изцяло от AI агент. Агентът описваше собствените си разсъждения на разбираем език в рамките на злонамерения код.

Когато някоя стъпка се проваляше, агентът диагностицираше проблема и издаваше коригирана версия за броени секунди.

Ето как изглежда на практика един автономен агент като киберпрестъпник (ATA). Тези възможности се предоставят от модела, а не се въвеждат от човек на клавиатура.

Втората кампания е мястото, където намерението на JADEPUFFER стана недвусмислено ясно. Все същият оператор, потвърден от същия адрес за контакт за изнудване, използван повторно и при двете прониквания.

Но този път импровизираните скриптове бяха изчезнали. На тяхно място се появи сериозно надграждане, наречено ENCFORGE.

Към какво всъщност е насочен ENCFORGE

ENCFORGE е компилиран, пакетиран с UPX Go рансъмуер двоичен файл с изчистен интерфейс с команден ред (CLI) и придружаващ инструмент за генериране на ключове (keygen).

Той използва хибридно криптиране – AES-256 в броячен режим (counter mode), като ключът за всяко стартиране е обвит във вграден публичен ключ RSA-2048, и криптира файловете на части, вместо цялостно криптиране на файловете като рансъмуерите LockBit и BlackCat.

Освен това криптираните файлове се преименуват с разширение .locked. На хартия това изглежда като стандартна разработка на рансъмуер за този етап.

Списъкът с мишени прави тази рансъмуер кампания особено специфична. ENCFORGE атакува приблизително 180 файлови разширения, като всички те са градивните елементи на AI системите: формати на модели, векторни индекси, набори от данни за обучение и др.

Собственият помощен текст на двоичния файл дори посочва като изрични примери адаптерни файлове за фино донастройване на LoRA и архивни тегла на модели.

Това не е обикновен шифратор на файлове. Той е създаден целенасочено от някой, който разбира стойността на данните в процеса на разработка на AI.

Атакуващите са осъзнали, че фино донастроеният AI модел, грижливо подбраният набор от данни и запълненото векторно хранилище в момента са най-ценните активи, с които разполага една организация, и същевременно най-малко защитените.

Когато човекът се отказва, агентът упорства

Преди JADEPUFFER да успее да криптира AI и ML инфраструктурата с помощта на ENCFORGE, той се натъкна на препятствие. Операторът имаше достъп до средата на жертвата, след което се опита да изтегли двоичния файл ENCFORGE от своя сървър за командване и контрол (C2), за да продължи атаката. Но опитът се провали.

Вместо да премине нататък, агентът не спря дотук. Той изгради механизъм за бягство от контейнера, за да прехвърли двоичния файл през границата на пространството от имена (namespace) и да го стартира директно върху хоста.

Само за 5 минути и 24 секунди агентът създаде шест поредни версии на Python скриптове през канала за Langflow RCE, като всяка коригираше конкретна грешка от предходната.

Агентът разреши инфраструктурен проблем в реално време, тъй като първоначалният му план не съответстваше на реалността в средата на жертвата.

Защо контролните точки на вашия модел струват повече от вашите сървъри

Направете крачка назад и помислете какво се съдържа във вашите атакувани файлове. Една контролна точка (checkpoint) на производствен модел представлява седмици или месеци обучение, фино донастройване и оценка.

Векторното хранилище съдържа векторните вграждания (embeddings), които захранват извличането на информация и търсенето. Грижливо подбраният набор от данни отразява реален инженерен труд по събиране, изчистване и етикетиране. Нищо от това не се възпроизвежда лесно за една нощ.

Повторното изграждане на производствен, фино донастроен AI модел може да струва между 75 000 и 500 000 долара, като се вземат предвид изчислителните ресурси и инженерното време. И това при условие, че все още разполагате с данните за обучение, от които да го възстановите.

Ако те се намират на същия хост като моделите – а те често са там – тогава ENCFORGE унищожава и двете, а вие сте в още по-лошо положение.

Не можете да възстановите модела, преди първо да реконструирате данните. Това означава, че цената нараства.

Ето защо активите за AI са толкова привлекателна мишена за рансъмуер. Разходите за възстановяване са огромни, а лостът за влияние е реален, дори за оператор без сайт за изтичане на данни или реална кражба на данни. JADEPUFFER никога не е ексфилтрирал нищо с ENCFORGE.

Не беше и необходимо. Унищожаването на артефактите на място беше цялата стратегия за изнудване.

Конвенционалните резервни копия ще ви подведат

Повечето стратегии за архивиране бяха проектирани за инфраструктура и бизнес данни: възстановявате сървъра, преигравате трансакционния журнал и се връщате към вчерашния ден, сякаш нищо не се е случило. Тази логика не важи за възстановяването на AI.

Проблемът е във времевата пропаст. Вашата последно архивирана контролна точка на модела може да предхожда месец на фино донастройване и обработка на набори от данни.

Възстановяването ѝ не ви връща към текущия ви производствен модел, а ви връща към версия на модела, която вече сте отминали.

Още по-лошо е, че артефактите на моделите обикновено са големи, а големите файлове често се изключват от рутинните задачи за архивиране именно заради размера им – по-често, отколкото на някого би му се искало да признае.

Много екипи откриват едва след инцидент, че най-скъпите им активи всъщност никога не са били архивирани.

Стандартната проверка на резервните копия също така не взема предвид веригата от зависимости. Възстановеният модел е неизползваем без съответстващия токенизатор, конфигурация и произход на набора от данни, от който е създаден. Ако липсва дори една брънка, възстановяването е невъзможно.

Къде JADEPUFFER оставя следи за откриване

Добрата новина е, че този вид атака е шумна, ако наблюдавате правилните слоеве.

Започнете с поведението на процесите. Подпроцес, стартиран от потребителя на вашето уеб приложение или Langflow, който прави заявка към Docker Engine API за създаване или стартиране на контейнери, не е нещо нормално.

Нито пък nsenter, насочен към PID 1 отвътре от контейнер. И двете са наблюдаеми по време на изпълнение.

След това наблюдавайте вашите акаунти и самоличности. JADEPUFFER започна с извличане на ключове на доставчици и облачни данни за достъп от един компрометиран хост, извърши проверка на вътрешни услуги за достъпност, а след това повторно използва данните за достъп срещу вътрешни бази данни и услуги за кеширане, за да види какво може да отключи.

Моделът на събиране и повторно използване е аномалия при автентификацията между услуги, за чието откриване е създадено наблюдението на самоличности по време на изпълнение.

Накрая следете вашата файлова система. Масовото създаване на файлове с разширение .locked в директории, които съдържат също модели, вектори, индекси или набори от данни, е възможно най-ясният индикатор, който можете да получите.

Внезапната поява на съобщение с искане за откуп е също толкова ясен знак. Уловката е, че в момента, в който файловете започнат да се преименуват, вашият прозорец за защита вече се затваря.

Бързото прекратяване на процеса прави разликата между загубата на няколко контролни точки и загубата на цялата директория.

Това е проблем по време на изпълнение и той трябва да бъде прихванат и отстранен в реално време.

Защита на цялата верига за доставки на изкуствен интелект

Защитата на активите на изкуствения интелект означава да се отнасяте към конвейера като към критичната инфраструктура, в която той се е превърнал. Отстранявайте уязвимостите и укрепвайте входните си точки. Langflow, например, трябва да бъде на версия 1.3.0 или по-нова.

Ограничете достъпа до сокета на Docker, тъй като повечето приложения нямат легитимна причина да комуникират с него.

Съхранявайте вашите ключове на доставчици на изкуствен интелект и облачни данни за достъп извън средите за изпълнение на приложенията и заменяйте всичко, до което компрометирана услуга би могла да има достъп.

След това преосмислете възстановяването, специално за изкуствен интелект. Поддържайте офлайн или непроменими снимки на теглата на производствените модели и съхранявайте наборите от данни, токенизаторите и конфигурациите заедно, така че възстановяването действително да произведе работещ модел, а не частичен такъв.

Приложете контроли върху файловата система, така че потребител на уеб приложение изобщо да не може да чете или пише в директориите с модели.

Трябва също така да тествате възстановяването на системата си за изкуствен интелект по същия начин, по който тествате всеки друг план за възстановяване след срив, защото резервно копие, което никога не сте възстановявали, не е план, а молитва.

Основният урок е стар, приложен към нова цел: приемайте, че пробивът вече е факт („assume breach“). Отнасяйте се към сървърите си за модели със същата сериозност, с която се отнасяте към вашите бази данни и облачни данни за достъп, защото атакуващите вече го правят.

JADEPUFFER не е предупредителен изстрел. Това е новото нормално състояние.

Кристал Морин е старши стратегически специалист по киберсигурност в Sysdig. Като бивш лингвист и разузнавателен анализатор във Военновъздушните сили на САЩ, тя превежда сложни изследвания на заплахите в практически насоки за ръководители и специалисти по сигурността.