Cisco Talos يعثر على برنامج زرع لنظام Windows يتيح لأربعة نماذج لغوية كبيرة التصويت على خطوته التالية

في 22 سبتمبر 2026، نشرت Cisco Talos بحثًا عن CLOSEDQUORUM، وهي برمجية زرع لنظام Windows لا تنتظر تعليمات المهاجم. وبمجرد تشغيلها، تصف الجهاز الذي وصلت إليه، وتسأل ما يصل إلى أربعة نماذج ذكاء اصطناعي تجارية عما ينبغي فعله بعد ذلك — DeepSeek وQwen وMistral وGoogle Gemini — ثم تعدّ إجاباتها أصواتًا، وتنفّذ الإجراء الفائز من بين أربعة إجراءات. وتصفها Talos بأنها «على حد علمنا، أول برمجية زرع لنظام Windows موثّقة علنًا تطبّق هذا النموذج على القيادة والتحكم التكتيكيين». ويقول المنشور نفسه إن Talos لا تملك تأكيدًا بأن البرمجية نُشرت أو استُخدمت يومًا، وإن النسخة المتداولة علنًا لا تعمل: مفاتيح API الخاصة بها ونقطة webhook الخاصة بتسريب البيانات مجرد عناصر نائبة. ولم يُسجَّل وقوع أي ضرر بأي مستخدم. ويوجد السجل الكامل، مع مصادره وتصنيف خطورته، في أرشيف حوادث الذكاء الاصطناعي إلى جانب النتائج الأخرى الموثّقة المتعلقة بأسلحة الذكاء الاصطناعي.

ما الذي يقول Talos إن الغرسة تفعله

العينة التي يصفها Talos هي ملف تنفيذي Windows بحجم 16.4MB ومعمارية 64 بت مكتوب بلغة Go، مع بعض شيفرة C المدمجة فيه حتى يتمكن من استدعاء وظائف نظام Windows مباشرة. ولا تكمن جِدّتها في الحمولة. بل في أن الغرسة لا تملك خادمًا يديره المهاجم لتتصل به. فبدلًا من نطاق تحكم وسيطرة، تستخدم نقاط نهاية API الخاصة بمزوّدي نماذج اللغة الكبيرة — بنية تحتية تتصل بها آلاف التطبيقات الشرعية كل يوم، وبالتالي لا يمكن حظرها بمجرد رؤيتها.

في كل دورة، يجمع روتين حقائق أساسية عن المضيف: اسمه، وإصدار Windows الخاص به وبنية معماره، وعدد المعالجات لديه، وما إذا كان البريمج يعمل بحقوق المسؤول. يُوضع ذلك النص في موجّه ويُرسل إلى المزوّدين واحدًا تلو الآخر. لا يُطلب من النماذج كتابة نثر. استخرجت Talos موجّه النظام من الملف الثنائي وتقتبسه: "أنت خبير استراتيجي متقدم في البرمجيات الخبيثة. قدّم قرارات قابلة للتنفيذ فقط." يجب أن تُفكّ تسلسل كل رد إلى بنية محددة النوع يكون حقل القرار فيها باسم أحد أربعة إجراءات، وإلا يُستبعد.

تُوجَّه الإجراءات الأربعة إلى وحدات قدرات كتبها إنسان وجمّعها في الملف الثنائي. steal يشغّل ثلاث روتينات جمع معًا: تفريغ لِذاكرة بيانات اعتماد Windows، وكلمات مرور المتصفح المحفوظة، وملفات محافظ العملات المشفرة. inject يشغّل شيفرة داخل عملية أخرى. persist يرتّب لإعادة بدء الغرسة من تلقاء نفسها. move، خيار الحركة الجانبية، ليس له معالج على الإطلاق في البناء الذي فحصه Talos — يمكن للنموذج أن يصوّت له فلا يحدث شيء.

يُنشر القرار الفائز إلى webhook على Discord قبل تنفيذه، لذا يراقب المشغّل وصول اختيار اللوحة ومبرراته المعلنة إلى قناة محادثة في الوقت الفعلي. وتُرسَل المواد المسروقة إلى القناة نفسها، مشفّرة بمفتاح مشتق من التاريخ الحالي. ويقرأ Talos ذلك الاختيار بحدة: بما أن المطوّر يعرف التاريخ دائمًا، فهو «تمويه، وليس فصلًا حقيقيًا للسرية بين المطوّر والمشغّل».

ما هو ثابت، وما هو غير ثابت

كان Talos صريحًا على نحو غير معتاد بشأن الحد الفاصل، ويستحق إبقاء النصفين معًا. ما يثبته التحليل الساكن هو حلقة القرار نفسها: قائمة المزوّدين، وترتيب الاستعلامات، وعدّ الأصوات، والردّ المحدّد النوع، والتوجيه من كلمة فائزة إلى قدرة. لم يُجرَّد الملف الثنائي، لذا فإن أسماء الدوال التي تؤدي هذا العمل قابلة للقراءة في الملف. وتُظهر نسخ التطوير كتابة بيانات اعتماد المزوّدين وقت الترجمة.

ما لم يُثبت بعد هو أن أيًا من ذلك قد شغّل دورة كاملة على جهاز حقيقي. وتقول Talos إن نسخة التوزيع العامة هي «قالب خامل»: إذ يُهيأ كل مفتاح API خاص بالنموذج إلى سلسلة نصية بديلة، ويُهيأ webhook إلى عنوان وهمي، والملف الثنائي «غير فعّال كما وُزّع». وتقول Talos إنها «لم ترصد تنفيذًا كاملًا من البداية إلى النهاية للبنية». وتقول أيضًا، في الفقرة الافتتاحية من المنشور، إنه ليس لديها تأكيد على نشر في بيئة واقعية.

ما وجده Talos إلى جانب الشيفرة كان إسنادًا من نوع ما. فقد ربطت آثار من الملف الثنائي مطوّره بمنشورات على منتديات إجرامية حول الكاردينغ، وهو تجارة بيانات بطاقات الدفع المسروقة، تعود إلى عام 2025. ولا يذكر المنشور اسم المطوّر، ولا يثبت أن المطوّر نفّذ هجمات بالأداة. ويرى Talos بدلًا من ذلك أن الشيء منتج: إذ يجمّع المطوّر ملفًا تنفيذيًا مخصّصًا لكل عميل مزوّدًا بمفاتيح API الخاصة بذلك العميل وwebhook مدمجين، ويتولى العميل التسليم. ويسمّي Talos النموذج المرجّح "بيانات الاعتماد كخدمة"، حيث تكون نقطة البيع هي طبقة التنسيق.

لا يوجد في أي مكان في هذا أي تسجيل لضحية أو حملة أو عملية نشر. يصنّف الأرشيف المدخل على أنه نتيجة بحثية وليس حدث نشر، دون تسجيل أي ضرر حقيقي — وهو بيان عمّا تم توثيقه، لا ادعاء بأن شيئًا لم يحدث.

كسر التعادل الذي يقوّض كلمة النصاب

يوحي الاسم بصورة أربعة نماذج تتباحث حتى تتفق. غير أن التطبيق أكثر مرونة من ذلك. يُحسم الفائز بالتعددية لا بالأغلبية: القرار الذي تسميه أكبر عدد من النماذج يفوز، حتى لو كان صوتًا واحدًا من أصل أربعة في انقسام رباعي. ولا يُشترط الاتفاق.

تُحسم التعادلات دون سؤال أي أحد مرة أخرى. يصف Talos حلقة العد بأنها حتمية بالكامل ومتحيزة لصالح DeepSeek: يُستعلم من DeepSeek أولاً، وتحتفظ المقارنة بأول قرار يصل إلى أعلى عدّ، لذا يحمل صوت DeepSeek كل تعادل. وإذا لم يتوفر DeepSeek، يرث Qwen الصوت الحاسم، ثم Mistral، ثم Gemini. والمدافع الذي يعرف أي المزوّدين أجاب يمكنه التنبؤ بنتيجة انقسام الأصوات دون قراءة رد نموذج واحد.

ثمة حقيقة تصميمية ثانية، أكثر هدوءًا. فإذا رفض كل نموذج، أو انتهت مهلة استجابته، أو أعاد مخرجات مشوّهة، فإن الخيار الاحتياطي ليس إجراءً افتراضيًا. يقول Talos إن قرار الخيار الاحتياطي هو سلسلة نصية بلا معالج مطابق، لذا تنام الحلقة وتعيد المحاولة. وقد صُمّمت الغرسة لتفعل لا شيء بدلًا من أن تخمّن.

ما الذي تفعله كلمة "first" في تلك الجملة؟

ادّعاء Talos أضيق مما أوحت به معظم التغطية، وهذا التضييق مهم. تقول الشركة إنه "أول implant ويندوز موثّق علنًا يطبّق هذا النموذج على القيادة والتحكم التكتيكيين" — وليس أول برمجية خبيثة بالذكاء الاصطناعي، ولا أول برمجية خبيثة تستخدم نموذجًا لغويًا. ما يُدّعى أنه جديد هو شكل التفويض: عدة مزودين تجاريين يُستشارون كهيئة قرار احتياطية، تختار تكتيكًا على المضيف المصاب.

لقد جرى الجدال حول ذلك التأطير، والجدال يدور حول طريقة العرض لا حول النتائج التقنية. وهناك إحاطة مستقلة نشرها في اليوم نفسه المحلل P.K. Sharma تختبر هذا الادعاء وتخلص إلى أن الادعاء المعماري الضيق يصمد أمام السجل العام، في حين أن «الانطباع الأوسع بأن هذه أولى حالات البرمجيات الخبيثة المدعومة بالذكاء الاصطناعي لا يصمد» — مشيرة إلى حالات عامة أسبق استعلمت فيها البرمجيات الخبيثة عن نموذج لغوي أثناء التشغيل، وأوضحها LameHug، الذي أبلغ عنه CERT-UA الأوكراني في يوليو 2025، والذي استخدم نموذجًا لتوليد الأوامر التي نفذها بعد ذلك. ووفقًا لهذا التفسير، ما تغير في سبتمبر 2026 هو أن النماذج تختار التكتيك بدلًا من كتابة الأمر.

تعرض التقرير نفسه للمعالجة ذاتها. في 23 سبتمبر، أشار موقع On the Wire إلى أن معظم التغطية الصحفية المتخصصة أبقت نتيجة Talos وتحذير Talos معًا، لكن «عنوانًا واسع الانتشار لم يفعل ذلك»، وسلّط الضوء على عنوان يزعم أن برمجيات خبيثة مدعومة بالذكاء الاصطناعي أزالت العنصر البشري من حلقة الهجوم، بوصفه غير مدعوم بالبحث الذي يستند إليه. وقد صاغت ورقة في هندسة الكشف نُشرت على Zenodo في 7 أكتوبر الحد نفسه في جملة: «كل ادعاء هو ادعاء عن تصميم، لا عن اختراق».

لا يجادل أيٌّ من هؤلاء النقاد في ما يحتويه الملف الثنائي. وبالمثل، لا يورد الأرشيف هذا المُدخل بوصفه موضع خلاف. الخلاف إنما يدور حول قدر ما ينبغي أن يُسمح لقدرة مُجمَّعة، لم يُشاهَد لها تشغيل قط، بأن تُوحي به.

الشركة التي اكتشفت ذلك تبيع الإصلاح أيضًا.

ثمة تفصيل واحد في الإفصاح جدير بأن يُقال صراحةً. ظهر CLOSEDQUORUM عبر CAIRN، مجموعة الأدوات مفتوحة المصدر الخاصة بـ Talos لاصطياد البرمجيات الخبيثة المدموجة بالذكاء الاصطناعي، والتي أطلقتها Talos في اليوم نفسه. وTalos قسم من Cisco، التي تبيع منتجات الشبكة ونقاط النهاية التي تعالج هذه الفئة من التهديدات. قاعدة Snort الصادرة لهذه العائلة، 1:66984، هي منتج من Cisco، ويصف توثيق القاعدة العام الاستخدام المعروف بأنه "Attacks/Scans seen in the wild" — بصياغة أكثر حزماً من بيان منشور البحث نفسه بأنه لا يوجد تأكيد على النشر في البرية. ويصف توثيق القاعدة ما تنبّه عليه القاعدة، لا دليلاً على وجود ضحية، والبيانان ليسا متناقضين رسمياً؛ بل هما مختلفان في الثقل. والقارئ الذي يزن نتيجة مورّد ينبغي أن يعتمد على التفصيل التقني، القابل للتحقق، بدلاً من التأطير، غير القابل للتحقق.

ما يُطلب من المدافعين البحث عنه

لأن البنية التحتية شرعية، فإن حظر النطاقات غير متاح. إرشادات Talos هي الارتباط السلوكي: لا توجد إشارة واحدة تحدد البرمجية المزروعة، لكن مجموعة منها تفعل ذلك. القائمة التي يقدمها Talos هي:

• حركة مرور API إلى مزوّدي نماذج الذكاء الاصطناعي صادرة عن ملف تنفيذي على Windows لا يوجد سبب لاستخدامه لمزوّد كهذا

• طلبات مماثلة تُرسَل إلى عدة مزوّدين خلال فترة قصيرة من العملية نفسها

• مطالبات تحمل تفاصيل المضيف أو لغة قدرات هجومية، لا تكون مرئية إلا عبر فحص TLS أو على جانب المزوّد

• حقن العمليات، أو الوصول إلى ذاكرة بيانات الاعتماد، أو إنشاء استمرارية جديدة على المضيف نفسه

• حركة مرور webhook الخاصة بـ Discord من تلك العملية أو المضيف

• تنفيذ يتكرر على فترات عشوائية تتراوح بين خمس إلى خمس عشرة دقيقة

المنطق الكامن وراء إشارة المزوّدين المتعددين هو الجزء الأكثر قابلية للتعميم من هذا الاكتشاف. فالبرمجيات الشرعية تلتزم بمزوّد واحد، أو تنتقل إلى مزوّد ثانٍ عند تعطّل الأول. أما البرمجيات التي تتوزّع على أربعة مزوّدين وتقارن الإجابات فهي تفعل شيئًا آخر. نشرت Talos قاعدة YARA وقاعدة Snort إلى جانب المنشور، وست قيم تجزئة SHA-256 تغطي عمليات بناء من نحو أسبوع من التطوير. وذكرت The Hacker News في 23 سبتمبر أن ملف القواعد المشحون مع CAIRN لم يكن يحتوي في حد ذاته على قاعدة CLOSEDQUORUM، لذا اضطر مستخدمو CAIRN إلى إضافة قاعدة Talos يدويًا؛ والقاعدة منشورة في منشور المدونة.

ما الذي يغيّره الإفصاح

قليل جدًا عن الحاضر، وشيء ما عن المستقبل القريب. Talos صريحة في تقييمها الخاص: إن CLOSEDQUORUM «يُفهم على نحو أفضل لا باعتباره برمجية خبيثة متطورة، بل باعتباره برهانًا على أن التحول المعماري نحو أتمتة سلسلة الهجوم قادم». القدرات التي يمكنه تفعيلها هي أدوات عادية لما بعد الاختراق. الجديد هو أن اختيار القدرة التي ستُستخدم بعد ذلك قد انتقل من المشغّل إلى لجنة تصويت من نماذج تجارية، تعمل سواء كان أي شخص مستيقظًا أم لا.

يسمّي Talos ذلك «إزاحة الجهد»، وهو ادعاء يتعلق بمكان وجود مرحلة من الهجوم لا بسرعة تشغيلها — فلا يصبح المشغّل أسرع، بل يُزال من قرار ما. ويشير Talos إلى أن التصميم نفسه يمنح المدافعين مجموعة من نقاط الضعف يستفيدون منها: فالمزوّدون يرفضون، ويحدّون من المعدل، ويعيدون مخرجات مشوّهة، وفضاء الإجراءات لا يتجاوز أربع كلمات، وحسم التعادل متوقع. وهنا تقايض الاستقلالية الذاتية حدود البشر بحدود النموذج والبنية التحتية.

لا شيء في السجل يقول إن هذا قد استُخدم. ما يقوله هو أن البنية تُترجَم/تُجمّع، وأن شخصًا بناها ليبيعها، وأن السمة المميّزة واضحة بما يكفي من الخارج بحيث يستطيع مدافع أن يحصي المزوّدين لكل عملية. هذا ادّعاء أصغر مما تشيعه العناوين، وأكثر فائدة.