El panorama de la ciberseguridad ha sumado una amenaza tan sofisticada como peculiar: ENCFORGE, un ransomware diseñado específicamente para destruir modelos de inteligencia artificial entrenados, pero sin mecanismo alguno para cobrar rescate. Este software malicioso, detectado por el equipo de investigación de Sysdig, no busca dinero: busca borrar el activo más valioso de las organizaciones que invierten en IA. La pregunta que surge es directa: ¿qué sentido tiene un secuestro de datos si el atacante no puede devolverlos?
ENCFORGE opera a través de CVE-2025-3248, una vulnerabilidad de autenticación en Langflow que permite ejecutar código Python de forma remota. El mismo vector de entrada se utilizó en dos campañas separadas: en la primera, el agente improvisó cifrando configuraciones de Nacos con funciones nativas de MySQL; en la segunda, ya llevaba un binario compilado en Go que barre más de 180 extensiones de archivo. Lo que diferencia a ENCFORGE de otras familias de ransomware es su foco quirúrgico: apunta a formatos específicos del ecosistema de IA como PyTorch, TensorFlow, SafeTensors, GGUF, FAISS, Parquet y NumPy. Mientras que un ransomware genérico cifra todo lo que encuentra, ENCFORGE los nombra explícitamente, usando adaptadores LoRA y pesos GGML como ejemplos en sus banderas. Esto revela que quien diseñó esta herramienta conoce perfectamente el entorno que ataca.
El ransomware no incluye código de red. No hay llamadas salientes, ni portal de pago, ni fuga de datos; la única presión que ejerce es la destrucción. Utiliza AES-256-CTR con una clave por ejecución envuelta en una clave RSA-2048 incrustada, optimizando la velocidad para archivos grandes. Michael Clark, líder del equipo de investigación de Sysdig, lo resume así: “destruye lo único que una organización no puede simplemente restaurar”. Y es que, mientras que restaurar una base de datos desde una copia de seguridad del viernes cuesta un fin de semana de transacciones, recuperar un modelo fino entrenado implica todo lo aprendido desde ese viernes, y no hay filas que reproducir. Reconstruir un modelo listo para producción puede costar entre 75.000 y 500.000 dólares, según estimaciones de Sysdig, considerando GPU en la nube y horas de ingeniería. Y si los datos de entrenamiento están en el mismo host que los pesos, la recuperación se bloquea hasta reconstruir el conjunto de datos.
Pero hay un detalle aún más sombrío: en la primera campaña, la clave de cifrado se generó aleatoriamente, se imprimió una vez en consola y nunca se guardó. Eso convirtió al payload en un wiper con apariencia de rescate. Pagar no era una opción, y en la segunda campaña el diseño sigue la misma filosofía. ENCFORGE no puede exfiltrar nada, solo destruir. Kayne McGladrey, miembro senior de IEEE, señala que los equipos de seguridad pierden estas batallas al clasificar la exposición bajo el encabezado incorrecto: “deberían centrarse en los riesgos de negocio, no solo en los riesgos de ciberseguridad, porque si no afecta a las pérdidas financieras, nadie presupuestará adecuadamente”. Un modelo destruido tiene un coste de reemplazo conocido, y esa es la versión de la historia que un CFO entiende.
La guía oficial aún no se ha puesto al día. En mayo de 2025, la NSA, CISA y el FBI publicaron “AI Data Security”, el documento más autorizado sobre el tema, que menciona tres riesgos: la cadena de suministro de datos, los datos modificados maliciosamente y la deriva de datos. Todos preguntan si los datos son fiables. ENCFORGE pregunta si todavía existen. Y la respuesta para muchas organizaciones podría ser que no.
El incidente también revela la agilidad del atacante. Tras confirmar la ejecución, el agente barrió el host en busca de claves en la nube, cadenas de conexión y tokens API, y encontró el socket Docker en /var/run/docker.sock, que es funcionalmente root. Al intentar descargar el binario desde su servidor C2, la descarga falló. En lugar de reintentar, cambió de estrategia y construyó seis scripts Python a través del canal de Langflow, convergiendo en una escapatoria del contenedor en cinco minutos y 24 segundos. En la primera campaña, ese mismo comportamiento fue un inicio de sesión fallido diagnosticado y solucionado en 31 segundos. El problema se volvió más difícil, pero el método se mantuvo.
Sam Evans, ex CISO de Clearwater Analytics, lo pone en términos presupuestarios: “En seguridad, todo se reduce al tiempo de permanencia. Si un actor malicioso está en tu entorno durante un tiempo, el tiempo de permanencia aumenta, por lo que el radio de explosión crece. La probabilidad de que se convierta en un incidente material es exponencialmente alta”. Mike Riemer, SVP de Grupo de Seguridad de Red en Ivanti, ha visto cómo ese pivote se ha convertido en estándar: los vendedores endurecieron la puerta principal, así que los atacantes dejaron de llamar. “No puedo entrar por la puerta principal, así que consigo la llave de la casa de alguien y entro por la puerta trasera”, explica. Detrás se encuentra todo lo que los equipos asumen que está cubierto porque no está directamente expuesto a internet, pero en realidad no lo está.
Nadie afirma que una máquina hiciera esto sin supervisión. Un humano apuntó el ataque, y todo después funcionó sin nadie en el teclado. Heath Renfrow, cofundador y CISO de Fenix24, señala que cuando un agente comprime horas de trabajo del operador en minutos, “los defensores pierden tiempo valioso”. La puerta llevaba abierta 14 meses: CVE-2025-3248 tiene una puntuación CVSS de 9.8, CISA lo añadió al catálogo de vulnerabilidades explotadas conocidas el 5 de mayo de 2025, y Langflow lo corrigió en la versión 1.3.0. Cuando JADEPUFFER (el grupo detrás) volvió en julio de 2026, el servidor llevaba más de 14 meses desde ese listado y ya había sido documentado públicamente como víctima de una brecha.
Riemer pone un número a lo poco que eso deja: “Si publico un parche y un cliente no lo aplica en 72 horas, está abierto a la explotación, porque así de rápido pueden hacerlo ahora”. La mayoría de los clientes necesitan una semana para parchear manualmente. 72 horas frente a 14 meses: la brecha deja de leerse como un desliz. Nada en ninguna de las dos campañas fue nuevo. La primera falsificó un token de administrador de Nacos con una clave de firma por defecto pública desde 2020, explotó CVE-2021-29441 (un bypass de autenticación que Alibaba parcheó en 2021) y encontró un almacén MinIO con credenciales minioadmin:minioadmin. Sysdig contó más de 600 payloads, todos apoyándose en una mala configuración conocida o en un bug parcheado pero expuesto. La segunda añadió un socket Docker expuesto. Cada debilidad era rutinaria. Ensamblarlas a velocidad de máquina no lo era.
Langflow atrae esta atención por lo que contiene. VentureBeat informó en junio de que aproximadamente 7.000 instancias están expuestas, la mayoría en Norteamérica, con claves API de proveedores, credenciales en la nube y conexiones en vivo a los almacenes de vectores que ENCFORGE fue diseñado para cifrar. CISA ha añadido cinco fallos de Langflow a su catálogo, dos de ellos este mes: CVE-2026-55255 (bypass entre inquilinos, puntuación 9.9) y CVE-2026-0770 (ejecución de código sin autenticación a través del parámetro exec_globals, puntuación 9.8). Nada de esto es un entorno exótico. Una encuesta de Cloud Security Alliance a 418 profesionales encontró que el 82% de las organizaciones habían descubierto agentes de IA que nadie conocía, y el 65% había gestionado un incidente relacionado con agentes en el último año.
McGladrey remonta el problema de los permisos a cuatro décadas atrás: las empresas siempre clonaban el perfil de acceso de un empleado en el siguiente, y ahora lo hacen con agentes. Un agente “hace lo que sea necesario para hacer su trabajo, y usa muchos más permisos de los que debería, mucho más que un humano, debido a la velocidad de escala y también a la intención”. Las organizaciones que invierten en IA deben revisar su postura de seguridad antes de que el consejo de administración pregunte. Evans recuerda: “Cada vez que se publica un nuevo ataque de ransomware en las noticias, recibimos la consulta del consejo: ¿qué estamos haciendo al respecto? Y si involucra IA, su miedo se dispara aún más”.
Hay cinco acciones que vale la pena responder esta semana, y ninguna requiere comprar nada. Primero, actualizar todas las instancias de Langflow accesibles desde internet a la versión compatible actual. Cualquier versión anterior está expuesta al menos a uno de los cinco fallos que CISA ha listado. Segundo, revisar las solicitudes históricas a /api/v1/validate/code en busca del patrón exec_globals. Tercero, sacar el socket Docker de los contenedores de aplicaciones. Langflow no tiene motivo para crearlos; si el montaje es necesario, usar un proxy de socket que solo permita las llamadas necesarias. Cuarto, nombrar las rutas de los artefactos de modelo en el plan de copia de seguridad. Las instantáneas inmutables de checkpoints, índices de vectores y datos de entrenamiento, con restauración probada y datos fuera del host que contiene los pesos, son fundamentales. Quinto, rotar cada credencial a la que el host pudiera haber accedido, luego sacar las claves de proveedor de su tiempo de ejecución. Parchear no revoca lo que ya se ha ido. La primera campaña cosechó credenciales de OpenAI, Anthropic y la nube en segundos. El alcance de las sustituciones debe gestionarse con un gestor de secretos.
Detectar la creación masiva de archivos .locked en directorios que contienen .gguf, .safetensors, .ckpt o .faiss puede ser un indicador temprano. Sysdig publicó una regla YARA y ambos hashes, sin cobertura antivirus en el momento del análisis. No se publicó un recuento de archivos, por lo que lo documentado es un pase de cifrado en vivo, no una pérdida medida. Un atacante que entra a través de un framework de IA expuesto ahora llega con algo construido para lo que conecta, y esos activos son los que una restauración no puede reproducir. Los artefactos de modelo deben estar en el plan de recuperación junto a las bases de datos.
En menos de tres semanas entre los dos informes de Sysdig, este atacante pasó de Python improvisado a un bloqueador compilado. La velocidad no es el único factor preocupante: la precisión con la que ENCFORGE apunta a los modelos de IA muestra que los ciberdelincuentes han comenzado a entender el valor real de los datos que roban (o destruyen). Para las empresas que desarrollan aplicaciones basadas en IA, la lección es clara: la seguridad no puede limitarse a proteger la infraestructura tradicional. Hay que blindar también los activos intangibles que diferencian a la organización en el mercado.
En Q2BSTUDIO, como empresa de desarrollo de software y tecnología, entendemos que la transformación digital impulsada por IA requiere un enfoque integral de ciberseguridad. No basta con implementar soluciones de inteligencia artificial avanzadas; hay que protegerlas desde el diseño. Ofrecemos servicios de ciberseguridad y pentesting para identificar vulnerabilidades en entornos cloud AWS/Azure, aplicaciones a medida y sistemas de BI/Power BI que integran modelos de IA. Además, ayudamos a las organizaciones a automatizar procesos de forma segura, garantizando que los agentes de IA no se conviertan en un vector de ataque. La prevención, la monitorización continua y la respuesta rápida son las claves para evitar que un ransomware como ENCFORGE convierta el activo más valioso en cenizas digitales.
La amenaza de ENCFORGE no es una anomalía; es una señal de lo que está por venir. Los modelos de IA entrenados con millones de dólares en datos y cómputo se han convertido en objetivos principales. Las organizaciones deben actuar ahora, no cuando el consejo pregunte. Porque, como demuestra este caso, el rescate no siempre se puede pagar, y a veces ni siquiera se ofrece.
