Cisco Talos encuentra un implante para Windows que permite que cuatro LLM voten sobre su próximo movimiento

El 22 de septiembre de 2026, Cisco Talos publicó una investigación sobre CLOSEDQUORUM, un implante para Windows que no espera las instrucciones de un atacante. Una vez en ejecución, describe la máquina en la que ha aterrizado, pregunta a hasta cuatro modelos comerciales de IA qué hacer a continuación —DeepSeek, Qwen, Mistral y Google Gemini—, cuenta sus respuestas como votos y ejecuta la que gane de entre cuatro acciones. Talos lo describe como «hasta donde sabemos, el primer implante para Windows documentado públicamente que aplica este modelo al mando y control tácticos». La misma entrada indica que Talos no tiene confirmación de que el implante se haya desplegado alguna vez y que la copia que circula públicamente no funciona: sus claves de API y su webhook de exfiltración son marcadores de posición. No se registra ningún daño a usuario alguno. El registro completo, con sus fuentes y su clasificación de gravedad, se encuentra en el archivo de incidentes de IA junto con los demás hallazgos documentados sobre armas de IA.

Lo que Talos dice que hace el implante

La muestra que describe Talos es un ejecutable de Windows de 64 bits y 16,4 MB escrito en Go, con algo de C mezclado para poder llamar directamente a funciones del sistema de Windows. Su novedad no es el payload. Es que el implante no tiene un servidor operado por el atacante al que comunicarse. En lugar de un dominio de comando y control, utiliza los endpoints de API de proveedores de grandes modelos de lenguaje —infraestructura a la que miles de aplicaciones legítimas se conectan cada día y que, por lo tanto, no puede bloquearse a simple vista.

En cada ciclo, una rutina recopila datos básicos sobre el host: su nombre, su versión y arquitectura de Windows, su número de procesadores y si el implante se ejecuta con privilegios de administrador. Ese texto se coloca en un prompt y se envía a los proveedores uno a la vez. No se pide a los modelos que generen texto libre. Talos extrajo el prompt del sistema del binario y lo cita: «Eres un estratega avanzado de malware. Proporciona ÚNICAMENTE decisiones ejecutables». Cada respuesta debe deserializarse en una estructura tipada cuyo campo de decisión indique una de cuatro acciones, o se descarta.

Las cuatro acciones se enrutan a módulos de capacidad que una persona escribió y compiló en el binario. steal ejecuta tres rutinas de recolección a la vez: un volcado de la memoria de credenciales de Windows, las contraseñas guardadas del navegador y archivos de monederos de criptomonedas. inject ejecuta código dentro de otro proceso. persist hace que el implante se inicie de nuevo por sí solo. move, la opción de movimiento lateral, no tiene ningún manejador en la compilación que examinó Talos — un modelo puede votar por ella y no pasa nada.

La decisión ganadora se publica en un webhook de Discord antes de ejecutarse, por lo que el operador observa cómo la elección del panel y el razonamiento declarado llegan a un canal de chat en tiempo real. El material robado va al mismo canal, cifrado con una clave derivada de la fecha actual. Talos interpreta esa elección con dureza: como el desarrollador siempre conoce la fecha, se trata de "ofuscación, no de una verdadera separación de confidencialidad entre desarrollador y operador".

Qué está establecido y qué no

Talos es inusualmente explícito respecto a esa línea, y vale la pena mantener juntas las dos mitades. Lo que establece el análisis estático es el propio bucle de decisión: la lista de proveedores, el orden de consulta, el conteo de votos, la respuesta tipada y el enrutamiento desde una palabra ganadora hacia una capacidad. Al binario no se le aplicó stripping, así que los nombres de las funciones que realizan este trabajo son legibles en el archivo. Las compilaciones de desarrollo muestran credenciales de proveedores que se incorporan en tiempo de compilación.

Lo que no se ha establecido es que cualquiera de sus partes haya ejecutado alguna vez un ciclo completo contra una máquina real. Talos afirma que la compilación de distribución pública es «una plantilla inerte»: cada clave de API de modelo se inicializa con una cadena de marcador de posición, el webhook se inicializa con una dirección ficticia y el binario «no es funcional tal como se distribuye». Talos dice que «no observó una ejecución completa de extremo a extremo de la arquitectura». También afirma, en el párrafo inicial de la publicación, que no tiene confirmación de un despliegue en entornos reales.

Lo que Talos sí encontró junto al código fue una especie de atribución. Los artefactos del binario vinculaban a su desarrollador con publicaciones en foros criminales sobre carding, el comercio de datos de tarjetas de pago robados, que se remontan a 2025. La publicación no nombra al desarrollador ni establece que este haya ejecutado ataques con la herramienta. Talos evalúa, en cambio, que la cosa es un producto: un desarrollador compila un ejecutable personalizado para cada cliente con las claves API y el webhook de ese cliente integrados, y el cliente se encarga de la entrega. Talos denomina al modelo probable «credenciales como servicio», en el que el argumento de venta es la capa de orquestación.

En todo esto no se registra ninguna víctima, ninguna campaña ni ningún despliegue. El archivo clasifica la entrada como un hallazgo de investigación en lugar de un evento de despliegue, sin que se haya registrado ningún daño real, lo cual es una afirmación sobre lo que se ha documentado, no una aseveración de que no ocurrió nada.

El desempate que socava la palabra quórum

El nombre invita a imaginar a cuatro modelos deliberando hasta ponerse de acuerdo. La implementación es más laxa que eso. El ganador se decide por pluralidad, no por mayoría: gana la decisión nombrada por el mayor número de modelos, incluso si es un solo voto de cuatro en una división en cuatro opciones. No se requiere acuerdo.

Los empates se resuelven sin volver a preguntar a nadie. Talos describe el bucle de conteo como totalmente determinista y sesgado hacia DeepSeek: se consulta primero a DeepSeek, la comparación conserva la primera decisión en alcanzar el recuento máximo, por lo que el voto de DeepSeek decide todos los empates. Si DeepSeek no está disponible, Qwen hereda el voto decisivo, luego Mistral y después Gemini. Un defensor que sabe qué proveedores respondieron puede predecir el resultado de una división sin leer una sola respuesta de modelo.

Hay un segundo hecho de diseño, más silencioso. Si todos los modelos se niegan, agotan el tiempo de espera o devuelven una salida mal formada, el respaldo no es una acción por defecto. Talos dice que la decisión de respaldo es una cadena sin ningún manejador que coincida, así que el bucle duerme y reintenta. El implante está construido para no hacer nada en lugar de adivinar.

Qué hace la palabra «first» en esa oración

La afirmación de Talos es más limitada de lo que sugería la mayor parte de la cobertura, y esa limitación importa. La empresa dice «el primer implante de Windows documentado públicamente que aplica este modelo al mando y control táctico» — no el primer malware de IA, ni el primer malware en usar un modelo de lenguaje. Lo que se presenta como nuevo es la forma de la delegación: varios proveedores comerciales consultados como un panel de decisión redundante, que eligen una táctica en el host infectado.

Ese encuadre ha sido objeto de debate, y el debate gira en torno a la presentación más que a los hallazgos técnicos. Un informe independiente publicado el mismo día por el analista P.K. Sharma pone a prueba la afirmación y concluye que la afirmación arquitectónica limitada se sostiene frente al registro público, mientras que "la impresión más amplia de que este es el debut del malware impulsado por IA no se sostiene" —y señala casos públicos anteriores en los que el malware consultó un modelo de lenguaje en tiempo de ejecución, de forma más clara LameHug, que el CERT-UA de Ucrania reportó en julio de 2025 y que utilizó un modelo para generar los comandos que luego ejecutó. Según esa lectura, lo que cambió en septiembre de 2026 es que los modelos eligen la táctica en lugar de escribir el comando.

El propio reportaje recibió el mismo tratamiento. El 23 de septiembre, el medio On the Wire señaló que la mayor parte de la cobertura especializada había mantenido juntos el hallazgo de Talos y la advertencia de Talos, pero que «un titular muy leído no lo hizo», y destacó un titular que afirmaba que el malware de IA había sacado al ser humano del ciclo de ataque, por no estar respaldado por la investigación subyacente. Un artículo de ingeniería de detección publicado en Zenodo el 7 de octubre expresó el mismo límite en una frase: «Toda afirmación es una afirmación sobre un diseño, no sobre una vulneración».

Ninguno de estos críticos cuestiona lo que hay dentro del binario. Del mismo modo, el archivo no registra la entrada como disputada. El desacuerdo gira en torno a cuánto debería permitirse que implique una capacidad compilada que nunca se ha visto en funcionamiento.

La empresa que lo descubrió también vende la solución.

Un detalle de la divulgación merece decirse con claridad. CLOSEDQUORUM salió a la luz a través de CAIRN, el propio conjunto de herramientas de código abierto de Talos para cazar malware integrado con IA, que Talos publicó ese mismo día. Talos es una división de Cisco, que vende los productos de red y de endpoint que abordan esta clase de amenaza. La regla de Snort emitida para la familia, 1:66984, es un producto de Cisco, y su documentación pública de reglas etiqueta el uso conocido como «Ataques/escaneos vistos en el mundo real» —una formulación más firme que la propia afirmación del artículo de investigación de que no hay confirmación de despliegue en el mundo real. La documentación de la regla describe aquello sobre lo que alerta la regla, no pruebas de una víctima, y las dos afirmaciones no son formalmente contradictorias; tienen distinto peso. Un lector que evalúe el hallazgo de un proveedor debería apoyarse en el detalle técnico, que puede verificarse, y no en el encuadre, que no puede verificarse.

Qué se les dice a los defensores que busquen

Debido a que la infraestructura es legítima, el bloqueo de dominios no está disponible. La orientación de Talos es la correlación conductual: ninguna señal individual identifica el implante, pero una combinación sí. La lista que da Talos es:

• Tráfico de API hacia proveedores de modelos de IA originado desde un ejecutable de Windows que no tiene ninguna razón para estar usándolo

• Solicitudes similares enviadas a varios proveedores en un intervalo corto desde el mismo proceso

• Prompts que contengan detalles de hosts o lenguaje sobre capacidades ofensivas, visibles únicamente mediante inspección TLS o del lado del proveedor

• Inyección de procesos, acceso a la memoria de credenciales o nueva persistencia en el mismo host

• Tráfico de webhooks de Discord desde ese proceso o host

• Ejecución que se repite a intervalos aleatorizados de entre cinco y quince minutos

El razonamiento que subyace a la señal multiproveedor es la parte más transferible del hallazgo. El software legítimo se compromete con un proveedor, o conmuta a un segundo cuando el primero da error. El software que se ramifica hacia cuatro y compara las respuestas está haciendo algo distinto. Talos publicó una regla YARA y la regla Snort junto con la publicación, además de seis hashes SHA-256 que abarcan compilaciones de aproximadamente una semana de desarrollo. The Hacker News informó el 23 de septiembre que el archivo de reglas incluido con CAIRN no contenía en sí mismo una regla CLOSEDQUORUM, por lo que los usuarios de CAIRN tuvieron que añadir la regla de Talos manualmente; la regla está publicada en la entrada del blog.

Lo que cambia la divulgación

Muy poco sobre el presente, y algo sobre el futuro cercano. Talos es directo en su propia evaluación: CLOSEDQUORUM «se entiende mejor no como una pieza sofisticada de malware, sino como una demostración de que el cambio arquitectónico hacia la automatización de la cadena de ataque está llegando». Las capacidades que puede desencadenar son herramientas ordinarias de poscompromiso. Lo nuevo es que la elección de qué capacidad usar a continuación se ha trasladado del operador a un panel de votación de modelos comerciales, que se ejecuta independientemente de si alguien está despierto o no.

La palabra que Talos usa para eso es desplazamiento del esfuerzo, y es una afirmación sobre dónde reside una fase de un ataque en lugar de a qué velocidad se ejecuta: al operador no se lo hace más rápido, sino que se lo saca de una decisión. El mismo diseño, señala Talos, les entrega a los defensores un conjunto de debilidades con las que trabajar: los proveedores rechazan, aplican límites de tasa y devuelven salidas malformadas, el espacio de acción tiene cuatro palabras de ancho y el criterio de desempate es predecible. La autonomía aquí cambia límites humanos por límites del modelo y de la infraestructura.

Nada en el registro indica que esto se haya utilizado. Lo que dice es que la arquitectura compila, que alguien la construyó para venderla y que el rasgo distintivo es lo bastante legible desde fuera como para que un defensor pueda contar proveedores por proceso. Es una afirmación más modesta que la de los titulares, y también más útil.