Cisco Talos entdeckt ein Windows-Implantat, das vier LLMs über seinen nächsten Schritt abstimmen lässt

Am 22. September 2026 veröffentlichte Cisco Talos Forschung zu CLOSEDQUORUM, einem Windows-Implantat, das nicht auf die Anweisungen eines Angreifers wartet. Sobald es läuft, beschreibt es den Rechner, auf dem es gelandet ist, fragt bis zu vier kommerzielle KI-Modelle – DeepSeek, Qwen, Mistral und Google Gemini –, was als Nächstes zu tun ist, zählt ihre Antworten als Stimmen und führt diejenige von vier Aktionen aus, die gewinnt. Talos nennt es „nach unserem Wissensstand das erste öffentlich dokumentierte Windows-Implantat, das dieses Modell auf taktische Kommando- und Kontrollaufgaben anwendet“. Im selben Beitrag heißt es, Talos habe keine Bestätigung, dass das Implantat jemals eingesetzt wurde, und die öffentlich kursierende Kopie funktioniere nicht: Ihre API-Schlüssel und ihr Exfiltrations-Webhook seien Platzhalter. Es ist kein Schaden für irgendeinen Nutzer dokumentiert. Der vollständige Datensatz mit seinen Quellen und seiner Schweregradbewertung steht im KI-Vorfallarchiv neben den anderen dokumentierten Erkenntnissen zu KI-Waffen.

Was Talos zufolge das Implantat bewirkt

Das von Talos beschriebene Sample ist eine 16,4 MB große 64-Bit-Windows-Executable, die in Go geschrieben wurde, mit etwas beigemischtem C, damit sie Windows-Systemfunktionen direkt aufrufen kann. Das Neue daran ist nicht die Nutzlast. Es besteht darin, dass das Implantat keinen von Angreifern betriebenen Server hat, bei dem es sich melden kann. Statt einer Command-and-Control-Domain nutzt es die API-Endpunkte von Anbietern großer Sprachmodelle – Infrastruktur, die Tausende legitime Anwendungen täglich kontaktieren und die daher nicht auf Anhieb blockiert werden kann.

In jedem Zyklus sammelt eine Routine grundlegende Fakten über den Host: seinen Namen, seine Windows-Version und -Architektur, seine Prozessoranzahl und ob das Implantat mit Administratorrechten läuft. Dieser Text wird in einen Prompt eingefügt und nacheinander an die Anbieter gesendet. Von den Modellen wird keine Prosa verlangt. Talos hat den System-Prompt aus der Binärdatei extrahiert und zitiert ihn: „Sie sind ein fortgeschrittener Malware-Stratege. Liefern Sie NUR ausführbare Entscheidungen.“ Jede Antwort muss in eine typisierte Struktur deserialisiert werden, deren Entscheidungsfeld eine von vier Aktionen benennt, andernfalls wird sie verworfen.

Die vier Aktionen werden an Fähigkeitsmodule weitergeleitet, die ein Mensch geschrieben und in die Binärdatei kompiliert hat. steal führt drei Sammelroutinen gemeinsam aus: einen Dump des Windows-Anmeldeinformationsspeichers, gespeicherte Browser-Passwörter und Dateien von Kryptowährungs-Wallets. inject führt Code in einem anderen Prozess aus. persist sorgt dafür, dass das Implantat von selbst wieder startet. move, die Option für laterale Bewegung, hat in dem Build, den Talos untersucht hat, überhaupt keinen Handler – ein Modell kann dafür stimmen, und es passiert nichts.

Die Gewinnentscheidung wird vor ihrer Ausführung an einen Discord-Webhook gepostet, sodass der Operator beobachtet, wie die Wahl des Panels und die angegebene Begründung in Echtzeit in einem Chatkanal eintreffen. Gestohlenes Material geht an denselben Kanal, verschlüsselt mit einem Schlüssel, der vom aktuellen Datum abgeleitet wird. Talos bewertet diese Entscheidung scharf: Da der Entwickler das Datum immer kennt, sei es „Verschleierung, keine echte Vertraulichkeitstrennung zwischen Entwickler und Operator“.

Was gilt als gesichert und was nicht

Talos ist ungewöhnlich explizit, was diese Grenze angeht, und es lohnt sich, die beiden Hälften zusammenzuhalten. Was die statische Analyse feststellt, ist die Entscheidungsschleife selbst: die Providerliste, die Abfragereihenfolge, die Stimmenauszählung, die typisierte Antwort und das Routing von einem gewinnenden Wort zu einer Fähigkeit. Die Binärdatei war nicht gestrippt, daher sind die Funktionsnamen, die diese Arbeit erledigen, in der Datei lesbar. Entwicklungs-Builds zeigen, dass Provider-Zugangsdaten zur Kompilierungszeit eingetragen werden.

Was nicht belegt ist, ist, dass irgendein Teil davon jemals einen vollständigen Zyklus auf einer echten Maschine durchlaufen hat. Talos gibt an, dass der öffentliche Distributions-Build „eine inerte Vorlage“ sei: Jeder Modell-API-Schlüssel initialisiere sich mit einer Platzhalterzeichenfolge, der Webhook initialisiere sich mit einer Dummy-Adresse, und die Binärdatei sei „in der ausgelieferten Form nicht funktionsfähig“. Talos erklärt, es habe „keine vollständige End-to-End-Ausführung der Architektur beobachtet“. Außerdem heißt es im Eröffnungsabsatz des Beitrags, es gebe keine Bestätigung für einen Einsatz in freier Wildbahn.

Was Talos neben dem Code fand, war eine Art Zuschreibung. Artefakte aus der Binärdatei verbanden ihren Entwickler mit Beiträgen in kriminellen Foren über Carding, den Handel mit gestohlenen Zahlungskartendaten, die bis ins Jahr 2025 zurückreichen. Der Beitrag nennt den Entwickler nicht und belegt nicht, dass der Entwickler mit dem Tool Angriffe durchgeführt hat. Talos bewertet stattdessen, dass es sich bei dem Ganzen um ein Produkt handelt: Ein Entwickler kompiliert für jeden Kunden eine angepasste ausführbare Datei, in die die API-Schlüssel und der Webhook des jeweiligen Kunden eingebaut sind, und der Kunde übernimmt die Auslieferung. Talos nennt das wahrscheinliche Modell „Credentials-as-a-Service“, wobei das Verkaufsargument die Orchestrierungsebene ist.

Hierin ist nirgendwo ein Opfer, eine Kampagne oder ein Einsatz verzeichnet. Das Archiv ordnet den Eintrag als Forschungsergebnis statt als Einsatzereignis ein, wobei kein tatsächlicher Schaden verzeichnet ist – was eine Aussage darüber ist, was dokumentiert wurde, und nicht die Behauptung, dass nichts geschehen sei.

Der Stichentscheid, der das Wort Quorum untergräbt

Der Name lädt zu dem Bild ein, dass vier Modelle beraten, bis sie sich einig sind. Die Umsetzung ist lockerer als das. Der Gewinner wird durch relative Mehrheit entschieden, nicht durch absolute Mehrheit: Die von den meisten Modellen genannte Entscheidung gewinnt, selbst wenn dies bei einer Aufteilung auf vier Optionen nur eine von vier Stimmen ist. Einigkeit ist nicht erforderlich.

Gleichstände werden aufgelöst, ohne noch einmal jemanden zu fragen. Talos beschreibt die Zählschleife als vollständig deterministisch und einseitig zugunsten von DeepSeek: DeepSeek wird zuerst abgefragt, der Vergleich behält die erste Entscheidung, die die höchste Stimmenzahl erreicht, sodass DeepSeeks Stimme jeden Gleichstand entscheidet. Ist DeepSeek nicht verfügbar, erbt Qwen die entscheidende Stimme, dann Mistral, dann Gemini. Ein Verteidiger, der weiß, welche Anbieter geantwortet haben, kann das Ergebnis einer Stimmenspaltung vorhersagen, ohne auch nur eine einzige Modellantwort zu lesen.

Es gibt einen zweiten, leiseren Design-Sachverhalt. Wenn jedes Modell ablehnt, in ein Timeout läuft oder fehlerhafte Ausgaben zurückgibt, ist der Fallback keine Standardaktion. Talos sagt, die Fallback-Entscheidung sei ein String ohne passenden Handler, also schläft die Schleife und versucht es erneut. Das Implantat ist so gebaut, dass es nichts tut, statt zu raten.

Was das Wort „first“ in diesem Satz macht

Talos’ Behauptung ist enger gefasst, als der Großteil der Berichterstattung nahelegte, und diese Einschränkung ist wichtig. Das Unternehmen sagt, es sei das „erste öffentlich dokumentierte Windows-Implantat, das dieses Modell auf taktische Command-and-Control anwendet“ – nicht die erste KI-Malware und nicht die erste Malware, die ein Sprachmodell verwendet. Was als neu beansprucht wird, ist die Form der Delegation: mehrere kommerzielle Anbieter, die als redundantes Entscheidungsgremium abgefragt werden und auf dem infizierten Host eine Taktik auswählen.

Über diese Darstellung wurde gestritten, und der Streit dreht sich um die Präsentation und nicht um die technischen Erkenntnisse. Ein am selben Tag vom Analysten P.K. Sharma veröffentlichtes unabhängiges Briefing prüft die Behauptung und kommt zu dem Schluss, dass die enge architektonische Behauptung der öffentlichen Aktenlage standhält, während „der weiter gefasste Eindruck, dies sei das Debüt KI-gesteuerter Malware“ nicht standhält – und verweist auf frühere öffentlich bekannte Fälle, in denen Malware zur Laufzeit ein Sprachmodell abfragte, am deutlichsten LameHug, das CERT-UA der Ukraine im Juli 2025 meldete und das ein Modell nutzte, um die Befehle zu erzeugen, die es dann ausführte. Dieser Lesart zufolge hat sich im September 2026 geändert, dass die Modelle die Taktik wählen, statt den Befehl zu schreiben.

Auch die Berichterstattung selbst bekam dieselbe Behandlung. Am 23. September stellte das Medium On the Wire fest, dass die meisten Fachberichte Talos’ Befund und Talos’ Vorbehalt zusammen genannt hatten, dass „eine viel gelesene Schlagzeile dies jedoch nicht tat“, und hob eine Schlagzeile hervor, die behauptete, KI-Malware habe den Menschen aus der Angriffsschleife entfernt, was durch die dahinterstehende Forschung nicht gedeckt sei. Ein am 7. Oktober auf Zenodo veröffentlichter Aufsatz zum Detection Engineering formulierte dieselbe Einschränkung in einem Satz: „Jede Behauptung ist eine Behauptung über ein Design, nicht über eine Kompromittierung.“

Keiner dieser Kritiker bestreitet, was in der Binärdatei enthalten ist. Das Archiv verzeichnet den Eintrag ebenfalls nicht als umstritten. Die Uneinigkeit betrifft die Frage, wie viel eine kompilierte Fähigkeit, die nie im Betrieb gesehen wurde, implizieren darf.

Das Unternehmen, das es gefunden hat, verkauft auch die Lösung.

Ein Detail in der Offenlegung sollte man klar benennen. CLOSEDQUORUM trat über CAIRN zutage, Talos’ eigenes Open-Source-Toolkit zur Jagd auf in KI integrierte Malware, das Talos am selben Tag veröffentlichte. Talos ist ein Geschäftsbereich von Cisco, und Cisco verkauft die Netzwerk- und Endpoint-Produkte, die diese Bedrohungsklasse adressieren. Die für die Familie herausgegebene Snort-Regel 1:66984 ist ein Cisco-Produkt, und ihre öffentliche Regeldokumentation bezeichnet die bekannte Nutzung als „Attacks/Scans seen in the wild“ – eine entschiedenere Formulierung als die Aussage des Forschungsbeitrags selbst, es gebe keine Bestätigung für einen Einsatz in freier Wildbahn. Die Regeldokumentation beschreibt, worauf die Regel alarmiert, nicht den Nachweis eines Opfers, und die beiden Aussagen sind nicht formal widersprüchlich; sie sind unterschiedlich gewichtet. Wer die Erkenntnisse eines Anbieters abwägt, sollte sich auf das technische Detail stützen, das überprüfbar ist, statt auf die Rahmung, die es nicht ist.

Worauf Verteidiger achten sollen

Da die Infrastruktur legitim ist, ist eine Domänenblockierung nicht verfügbar. Talos' Empfehlung ist verhaltensbasierte Korrelation: Kein einzelnes Signal identifiziert das Implantat, aber eine Kombination schon. Die Liste, die Talos angibt, ist:

• API-Datenverkehr zu KI-Modellanbietern, ausgehend von einer Windows-Executable, die keinen Grund hat, eine solche zu nutzen

• Ähnliche Anfragen, die vom selben Prozess innerhalb eines kurzen Zeitintervalls an mehrere Anbieter gesendet werden

• Prompts mit Host-Details oder Formulierungen zu offensiven Fähigkeiten, die nur durch TLS-Inspektion oder auf Anbieterseite sichtbar sind

• Prozessinjektion, Zugriff auf den Anmeldeinformationsspeicher oder neue Persistenz auf demselben Host

• Discord-Webhook-Datenverkehr von diesem Prozess oder Host

• Wiederholte Ausführung in zufälligen Abständen von fünf bis fünfzehn Minuten

Die Begründung hinter dem Multi-Provider-Signal ist der am besten übertragbare Teil des Befunds. Legitime Software legt sich auf einen Anbieter fest oder weicht auf einen zweiten aus, wenn der erste einen Fehler liefert. Software, die auf vier Anbieter ausfächert und die Antworten vergleicht, tut etwas anderes. Talos veröffentlichte zusammen mit dem Beitrag eine YARA-Regel und die Snort-Regel sowie sechs SHA-256-Hashes, die Builds aus etwa einer Woche Entwicklung abdecken. The Hacker News berichtete am 23. September, dass die mit CAIRN ausgelieferte Regeldatei selbst keine CLOSEDQUORUM-Regel enthielt, sodass CAIRN-Nutzer die Regel von Talos von Hand hinzufügen mussten; die Regel ist im Blogbeitrag veröffentlicht.

Was die Offenlegung ändert

Sehr wenig über die Gegenwart und etwas über die nahe Zukunft. Talos ist in seiner eigenen Einschätzung unverblümt: CLOSEDQUORUM sei „am besten nicht als ein ausgeklügeltes Stück Malware zu verstehen, sondern als ein Beleg dafür, dass der architektonische Wandel hin zur Automatisierung von Angriffsketten bevorsteht“. Die Fähigkeiten, die es auslösen kann, sind gewöhnliche Werkzeuge für die Zeit nach einer Kompromittierung. Neu ist, dass die Wahl, welche Fähigkeit als Nächstes eingesetzt wird, vom Operator weg und hin zu einem Abstimmungsgremium kommerzieller Modelle verlagert wurde, das läuft, ob jemand wach ist oder nicht.

Talos nennt das Aufwandsverschiebung, und es ist eine Aussage darüber, wo eine Phase eines Angriffs angesiedelt ist, und nicht darüber, wie schnell sie abläuft – der Operator wird nicht schneller gemacht, sondern aus einer Entscheidung herausgenommen. Dasselbe Design, merkt Talos an, gibt Verteidigern eine Reihe von Schwächen an die Hand, mit denen sie arbeiten können: Anbieter verweigern, drosseln die Rate und liefern fehlerhafte Ausgaben, der Handlungsraum ist vier Wörter breit, und der Tie-Break ist vorhersehbar. Autonomie tauscht hier menschliche Grenzen gegen Modell- und Infrastrukturgrenzen.

In den Unterlagen steht nichts davon, dass dies verwendet wurde. Darin steht, dass die Architektur kompiliert, dass jemand sie zum Verkauf gebaut hat und dass das Unterscheidungsmerkmal von außen deutlich genug erkennbar ist, dass ein Verteidiger Anbieter pro Prozess zählen kann. Das ist eine kleinere Behauptung als die Schlagzeilen, und eine nützlichere.