Cisco Talos découvre un implant Windows qui permet à quatre LLM de voter sur son prochain mouvement

Le 22 septembre 2026, Cisco Talos a publié des recherches sur CLOSEDQUORUM, un implant Windows qui n’attend pas les instructions d’un attaquant. Une fois en cours d’exécution, il décrit la machine sur laquelle il a atterri, demande à jusqu’à quatre modèles d’IA commerciaux quoi faire ensuite — DeepSeek, Qwen, Mistral et Google Gemini — compte leurs réponses comme des votes et exécute celle des quatre actions qui l’emporte. Talos le qualifie de « à notre connaissance, le premier implant Windows documenté publiquement à appliquer ce modèle au commandement et contrôle tactique ». Le même billet indique que Talos n’a aucune confirmation que l’implant ait été déployé, et que la copie circulant publiquement ne fonctionne pas : ses clés d’API et son webhook d’exfiltration sont des espaces réservés. Aucun préjudice pour un utilisateur n’est enregistré. Le dossier complet, avec ses sources et sa classification de gravité, se trouve dans l’archive des incidents d’IA aux côtés des autres constats documentés d’armes d’IA.

Ce que Talos dit que l’implant fait

L’échantillon décrit par Talos est un exécutable Windows 64 bits de 16,4 Mo écrit en Go, avec un peu de C intégré afin de pouvoir appeler directement les fonctions système de Windows. Sa nouveauté ne réside pas dans la charge utile. Elle réside dans le fait que l’implant n’a pas de serveur contrôlé par l’attaquant auquel se connecter. Au lieu d’un domaine de commande et contrôle, il utilise les points de terminaison d’API de fournisseurs de grands modèles de langage — une infrastructure que des milliers d’applications légitimes contactent chaque jour, et qui, par conséquent, ne peut pas être bloquée à vue.

À chaque cycle, une routine collecte des faits de base sur l’hôte : son nom, sa version de Windows et son architecture, son nombre de processeurs et si l’implant s’exécute avec des droits d’administrateur. Ce texte est placé dans un prompt et envoyé aux fournisseurs un par un. Il n’est pas demandé aux modèles de produire de la prose. Talos a extrait le prompt système du binaire et le cite : « Vous êtes un stratège avancé en logiciels malveillants. Fournissez UNIQUEMENT des décisions exécutables. » Chaque réponse doit se désérialiser en une structure typée dont le champ décision nomme l’une des quatre actions, sinon elle est rejetée.

Les quatre actions sont dirigées vers des modules de capacités qu'un humain a écrits et compilés dans le binaire. steal exécute simultanément trois routines de collecte : une extraction de la mémoire des identifiants Windows, des mots de passe de navigateur enregistrés et des fichiers de portefeuilles de cryptomonnaies. inject exécute du code à l'intérieur d'un autre processus. persist fait en sorte que l'implant redémarre de lui-même. move, l'option de déplacement latéral, n'a aucun gestionnaire dans la compilation examinée par Talos — un modèle peut voter pour elle et rien ne se passe.

La décision gagnante est publiée sur un webhook Discord avant son exécution, de sorte que l’opérateur voit le choix du panneau et le raisonnement énoncé arriver dans un canal de chat en temps réel. Le matériel volé est envoyé vers le même canal, chiffré avec une clé dérivée de la date du jour. Talos interprète ce choix avec acuité : étant donné que le développeur connaît toujours la date, il s’agit d’« une obfuscation, et non d’une véritable séparation de confidentialité entre le développeur et l’opérateur ».

Ce qui est établi, et ce qui ne l’est pas

Talos est étonnamment explicite sur cette frontière, et il vaut la peine de garder les deux moitiés ensemble. Ce que l’analyse statique établit, c’est la boucle de décision elle-même : la liste des fournisseurs, l’ordre des requêtes, le décompte des votes, la réponse typée et le routage depuis un mot gagnant vers une capacité. Le binaire n’a pas été strippé, donc les noms des fonctions qui effectuent ce travail sont lisibles dans le fichier. Les versions de développement montrent que les identifiants des fournisseurs sont inscrits au moment de la compilation.

Ce qui n'a pas été établi, c'est que l'une quelconque de ses parties ait déjà exécuté un cycle complet sur une machine réelle. Talos affirme que la version de distribution publique est « un modèle inerte » : chaque clé d'API de modèle est initialisée à une chaîne de remplacement, le webhook est initialisé à une adresse factice, et le binaire est « non fonctionnel tel que distribué ». Talos déclare qu'il « n'a pas observé d'exécution complète de bout en bout de l'architecture ». Il déclare aussi, dans le paragraphe d'ouverture de l'article, qu'il n'a aucune confirmation d'un déploiement en conditions réelles.

Ce que Talos a trouvé aux côtés du code, c’est une forme d’attribution. Les artefacts du binaire reliaient son développeur à des publications sur des forums criminels concernant le carding, le commerce de données de cartes de paiement volées, remontant à 2025. Le post ne nomme pas le développeur et n’établit pas que celui-ci a mené des attaques avec l’outil. Talos estime plutôt que la chose est un produit : un développeur compile un exécutable personnalisé pour chaque client, avec les clés API et le webhook de ce client intégrés, et le client se charge de la livraison. Talos appelle ce modèle probable « credentials-as-a-service », où l’argument de vente est la couche d’orchestration.

Aucune victime, aucune campagne et aucun déploiement n’y est consigné. L’archive classe l’entrée comme un résultat de recherche plutôt qu’un événement de déploiement, sans aucun préjudice réel consigné — ce qui constitue un constat sur ce qui a été documenté, et non l’affirmation que rien ne s’est produit.

Le départage qui sape le mot quorum

Le nom évoque l’image de quatre modèles délibérant jusqu’à tomber d’accord. L’implémentation est plus souple que cela. Le vainqueur est déterminé à la pluralité, et non à la majorité : la décision désignée par le plus grand nombre de modèles l’emporte, même s’il ne s’agit que d’une voix sur quatre dans un partage en quatre. L’accord n’est pas requis.

Les égalités sont tranchées sans redemander à quiconque. Talos décrit la boucle de décompte comme entièrement déterministe et biaisée en faveur de DeepSeek : DeepSeek est interrogé en premier, la comparaison conserve la première décision à atteindre le décompte maximal, de sorte que le vote de DeepSeek départage chaque égalité. Si DeepSeek est indisponible, Qwen hérite du vote décisif, puis Mistral, puis Gemini. Un défenseur qui sait quels fournisseurs ont répondu peut prédire l’issue d’un vote partagé sans lire une seule réponse de modèle.

Il existe un second fait de conception, plus discret. Si chaque modèle refuse, expire ou renvoie une sortie malformée, le repli n’est pas une action par défaut. Talos dit que la décision de repli est une chaîne sans gestionnaire correspondant, donc la boucle dort et réessaie. L’implant est conçu pour ne rien faire plutôt que de deviner.

Ce que le mot « first » fait dans cette phrase

L'affirmation de Talos est plus étroite que ne l'impliquait la majeure partie de la couverture médiatique, et ce resserrement a son importance. L'entreprise déclare « le premier implant Windows publiquement documenté à appliquer ce modèle au commandement et contrôle tactique » — pas le premier malware IA, et pas le premier malware à utiliser un modèle de langage. Ce qui est présenté comme nouveau, c'est la forme de la délégation : plusieurs fournisseurs commerciaux interrogés comme un panel décisionnel redondant, choisissant une tactique sur l'hôte infecté.

Ce cadrage a fait débat, et le débat porte sur la présentation plutôt que sur les conclusions techniques. Un briefing indépendant publié le même jour par l’analyste P.K. Sharma met cette affirmation à l’épreuve et conclut que l’affirmation architecturale au sens étroit tient face aux sources publiques, tandis que « l’impression plus large selon laquelle il s’agit des débuts d’un malware piloté par l’IA ne tient pas » — en renvoyant à des cas publics antérieurs dans lesquels un malware interrogeait un modèle de langage à l’exécution, le plus clairement LameHug, que le CERT-UA ukrainien a signalé en juillet 2025 et qui utilisait un modèle pour générer les commandes qu’il exécutait ensuite. Dans cette lecture, ce qui a changé en septembre 2026, c’est que les modèles choisissent la tactique au lieu d’écrire la commande.

La couverture médiatique elle-même a eu droit au même traitement. Le 23 septembre, le média On the Wire a fait remarquer que la plupart des articles de la presse spécialisée avaient maintenu ensemble la découverte de Talos et sa mise en garde, mais que « un titre très largement lu ne l’avait pas fait », et a pointé du doigt un titre affirmant qu’un logiciel malveillant fondé sur l’IA avait retiré l’humain de la boucle d’attaque, comme non étayé par les recherches sous-jacentes. Un article d’ingénierie de détection publié sur Zenodo le 7 octobre a formulé la même limite en une phrase : « Chaque affirmation porte sur une conception, non sur une compromission. »

Aucun de ces critiques ne conteste ce qui se trouve à l'intérieur du binaire. De même, l'archive ne consigne pas l'entrée comme contestée. Le désaccord porte sur ce qu'une capacité compilée, jamais vue à l'œuvre, devrait être autorisée à laisser entendre.

L’entreprise qui a fait cette découverte vend aussi le correctif.

Un détail dans la divulgation mérite d’être dit clairement. CLOSEDQUORUM a été mis au jour grâce à CAIRN, l’outil open source de Talos dédié à la recherche des malwares intégrant de l’IA, que Talos a publié le jour même. Talos est une division de Cisco, qui vend les produits réseau et de point de terminaison destinés à contrer cette catégorie de menace. La règle Snort émise pour cette famille, 1:66984, est un produit Cisco, et sa documentation publique de règle qualifie l’usage connu d’« Attacks/Scans seen in the wild » — une formulation plus ferme que l’affirmation du billet de recherche selon laquelle il n’existe aucune confirmation de déploiement en environnement réel. La documentation de la règle décrit ce sur quoi la règle alerte, et non la preuve d’une victime, et les deux affirmations ne sont pas formellement contradictoires ; elles sont pondérées différemment. Un lecteur qui évalue la conclusion d’un fournisseur devrait s’appuyer sur le détail technique, qui peut être vérifié, plutôt que sur la présentation, qui ne peut pas l’être.

Ce que l’on dit aux défenseurs de rechercher

Comme l’infrastructure est légitime, le blocage de domaine n’est pas disponible. Les recommandations de Talos reposent sur la corrélation comportementale : aucun signal unique n’identifie l’implant, mais une combinaison y parvient. La liste que donne Talos est :

• Trafic d'API vers des fournisseurs de modèles d'IA provenant d'un exécutable Windows qui n'a aucune raison d'y recourir

• Demandes similaires envoyées à plusieurs prestataires dans un court intervalle depuis le même processus

• Prompts contenant des détails sur l'hôte ou un langage relatif à des capacités offensives, visibles uniquement via l'inspection TLS ou du côté du fournisseur

• Injection de processus, accès à la mémoire des identifiants ou nouvelle persistance sur le même hôte

• Trafic de webhooks Discord provenant de ce processus ou de cet hôte

• Exécution se répétant à intervalles aléatoires de cinq à quinze minutes

Le raisonnement derrière le signal multi-fournisseurs est la partie la plus transférable du constat. Un logiciel légitime s'engage auprès d'un seul fournisseur, ou bascule vers un second lorsque le premier renvoie une erreur. Un logiciel qui se distribue vers quatre fournisseurs et compare les réponses fait autre chose. Talos a publié une règle YARA et la règle Snort en même temps que l'article, ainsi que six hachages SHA-256 couvrant des builds issus d'environ une semaine de développement. The Hacker News a rapporté le 23 septembre que le fichier de règles fourni avec CAIRN ne contenait pas lui-même de règle CLOSEDQUORUM, de sorte que les utilisateurs de CAIRN devaient ajouter manuellement la règle de Talos ; la règle est publiée dans l'article de blog.

Ce que la divulgation change

Très peu de choses sur le présent, et quelque chose sur le futur proche. Talos est direct dans sa propre évaluation : CLOSEDQUORUM « se comprend mieux non pas comme un logiciel malveillant sophistiqué, mais comme une démonstration que le virage architectural vers l’automatisation de la chaîne d’attaque est en train d’arriver ». Les capacités qu’il peut déclencher sont des outils ordinaires de post-compromission. Ce qui est nouveau, c’est que le choix de la capacité à utiliser ensuite a été déplacé de l’opérateur vers un panel de vote de modèles commerciaux, qui fonctionne que quelqu’un soit éveillé ou non.

Le terme de Talos pour cela est le déplacement de l’effort, et il s’agit d’une affirmation sur l’endroit où réside une phase d’une attaque plutôt que sur sa vitesse d’exécution — l’opérateur n’est pas rendu plus rapide, mais écarté d’une décision. La même conception, note Talos, offre aux défenseurs un ensemble de faiblesses à exploiter : les fournisseurs refusent, limitent le débit et renvoient des sorties mal formées, l’espace d’action est large de quatre mots, et le départage est prévisible. L’autonomie ici échange des limites humaines contre des limites de modèle et d’infrastructure.

Rien dans le dossier ne dit que cela a été utilisé. Ce qu’il dit, c’est que l’architecture se compile, que quelqu’un l’a construite pour la vendre, et que le trait distinctif est suffisamment lisible de l’extérieur pour qu’un défenseur puisse compter les fournisseurs par processus. C’est une affirmation plus modeste que les gros titres, et plus utile.