Cisco Talos מגלה אימפלנט ל-Windows שמאפשר לארבעה LLMs להצביע על המהלך הבא שלו

ב-22 בספטמבר 2026 פרסמה Cisco Talos מחקר על CLOSEDQUORUM, אימפלנט Windows שאינו ממתין להוראות התוקף. לאחר שהוא פועל, הוא מתאר את המכונה שעליה נחת, שואל עד ארבעה מודלי AI מסחריים מה לעשותต่อไป — DeepSeek, Qwen, Mistral ו-Google Gemini — סופר את תשובותיהם כקולות, ומבצע את הפעולה שזוכה מבין ארבע פעולות. Talos מכנה אותו "למיטב ידיעתנו, האימפלנט הראשון ל-Windows שתועד בפומבי ושמיישם מודל זה בפיקוד ושליטה טקטיים". אותו פרסום אומר של-Talos אין אישור שהאימפלנט אי פעם הופעל בשטח, ושהעותק שמסתובב בפומבי אינו עובד: מפתחות ה-API שלו והוובהוק להברחת הנתונים שלו הם מצייני מקום. לא תועדה פגיעה באף משתמש. התיעוד המלא, עם מקורותיו ודירוג החומרה שלו, נמצא בארכיון אירועי ה-AI לצד ממצאי נשק AI מתועדים אחרים.

מה שטאלוס אומר שהשתל עושה

הדגימה שתיארה Talos היא קובץ הפעלה של Windows בארכיטקטורת 64 סיביות בגודל 16.4MB, שנכתב ב-Go, עם מעט C משולב כדי שיוכל לקרוא ישירות לפונקציות מערכת של Windows. החידוש אינו ה-payload. החידוש הוא של- implant אין שרת המופעל על ידי התוקף שאליו הוא מתקשר. במקום דומיין command-and-control, הוא משתמש בנקודות הקצה של ה-API של ספקי מודלי שפה גדולים — תשתית שאלפי יישומים לגיטימיים פונים אליה מדי יום, ולכן לא ניתן לחסום אותה מיד עם הופעתה.

בכל מחזור, שגרה אוספת עובדות בסיסיות על המארח: שמו, גרסת Windows והארכיטקטורה שלו, מספר המעבדים שלו והאם האימפלנט פועל עם הרשאות מנהל. הטקסט הזה מוצב בפרומפט ונשלח לספקים אחד בכל פעם. המודלים לא מתבקשים לפרוזה. Talos חילצה את פרומפט המערכת מהבינארי ומצטטת אותו: "אתה אסטרטג תוכנות זדוניות מתקדם. ספק אך ורק החלטות ברות ביצוע." כל תגובה חייבת לעבור דסריאליזציה למבנה טיפוסי ששדה ההחלטה בו מציין אחת מארבע פעולות, אחרת היא נזרקת.

ארבע הפעולות מנותבות למודולי יכולות שאדם כתב וקימפל לתוך הבינארי. steal מפעיל שלוש שגרות איסוף יחד: דאמפ של זיכרון אישורי Windows, סיסמאות דפדפן שמורות וקבצי ארנקי קריפטו. inject מריץ קוד בתוך תהליך אחר. persist דואג שהאימפלנט יופעל מחדש מעצמו. move, אפשרות התנועה הרוחבית, אין לה מטפל כלל בגרסה שטאלוס בחן — מודל יכול להצביע בעדה ושום דבר לא קורה.

ההחלטה המנצחת מפורסמת ל-webhook של Discord לפני שהיא מבוצעת, כך שהמפעיל רואה את בחירת הפאנל ואת הנימוק המוצהר שלה מגיעים לערוץ צ'אט בזמן אמת. חומר גנוב מגיע לאותו ערוץ, מוצפן במפתח הצפנה שנגזר מהתאריך הנוכחי. Talos מפרש את הבחירה הזו בחריפות: מכיוון שהמפתח תמיד יודע את התאריך, זה "הסוואה, ולא הפרדת סודיות אמיתית בין המפתח למפעיל".

מה מבוסס, ומה לא

טאלוס מפורש באופן יוצא דופן בנוגע לגבול הזה, וכדאי לשמור את שני החצאים יחד. מה שניתוח סטטי מבסס הוא לולאת ההחלטה עצמה: רשימת הספקים, סדר השאילתות, ספירת הקולות, התגובה הטיפוסית, והניתוב ממילה מנצחת ליכולת. הבינארי לא עבר strip, ולכן שמות הפונקציות שמבצעות את העבודה הזו קריאים בקובץ. גרסאות פיתוח מראות שפרטי הגישה של הספקים נכתבים בזמן הקומפילציה.

מה שלא הוכח הוא שאף אחד ממרכיביו אי פעם הפעיל מחזור מלא מול מכונה אמיתית. Talos מציינת שגרסת ההפצה הציבורית היא "תבנית אינרטית": כל מפתח API של מודל מאותחל למחרוזת מציין מקום, ה-webhook מאותחל לכתובת דמה, והבינארי הוא "לא פונקציונלי כפי שהוא מופץ". Talos אומרת שהיא "לא צפתה בהרצה מלאה מקצה לקצה של הארכיטקטורה". היא גם אומרת, בפסקה הפותחת של הפוסט, שאין לה אישור לפריסה בשטח.

מה ש-Talos כן מצאה לצד הקוד היה ייחוס מסוג כלשהו. ממצאים מהבינארי קישרו את המפתח שלו לפרסומים בפורומים פליליים בנושא קרדינג, הסחר בנתוני כרטיסי תשלום גנובים, שמתוארכים ל-2025. הפרסום אינו נוקב בשם המפתח, ואינו מוכיח שהמפתח הפעיל התקפות באמצעות הכלי. Talos מעריכה במקום זאת שמדובר במוצר: מפתח מהדר קובץ הרצה מותאם אישית לכל לקוח, עם מפתחות ה-API וה-webhook של אותו לקוח מובנים בו, והלקוח אחראי על המסירה. Talos מכנה את המודל הסביר "credentials-as-a-service", שבו נקודת המכירה היא שכבת התזמור.

אין תיעוד בשום מקום לקורבן, לקמפיין או לפריסה. הארכיון מסווג את הרשומה כממצא מחקרי ולא כאירוע פריסה, כאשר לא תועד נזק ממשי — וזו אמירה על מה שתועד, ולא טענה ששום דבר לא קרה.

שבירת השוויון שמערערת את המילה קוורום

השם מזמין תמונה של ארבעה מודלים שמתייעצים עד שהם מסכימים. המימוש רופף יותר מזה. המנצח נקבע לפי ריבוי, לא לפי רוב: ההחלטה שזכתה לקולותיהם של הכי הרבה מודלים מנצחת, גם אם מדובר בקול אחד מתוך ארבעה בפיצול לארבע אפשרויות. אין צורך בהסכמה.

תיקו מוכרע בלי לשאול שוב אף אחד. Talos מתאר את לולאת הספירה כדטרמיניסטית לחלוטין ומוטה לטובת DeepSeek: DeepSeek נשאל ראשון, ההשוואה שומרת על ההחלטה הראשונה שמגיעה לספירה הגבוהה ביותר, ולכן הקול של DeepSeek מכריע בכל תיקו. אם DeepSeek אינו זמין, Qwen יורש את ההצבעה המכרעת, אחריו Mistral, ואחריו Gemini. מגן שיודע אילו ספקים השיבו יכול לחזות את התוצאה של פיצול קולות בלי לקרוא אף תשובת מודל אחת.

יש עובדת תכנון שנייה ושקטה יותר. אם כל מודל מסרב, עובר לפסק זמן או מחזיר פלט לא תקין, ה-fallback אינו פעולת ברירת מחדל. Talos אומר שהחלטת ה-fallback היא מחרוזת ללא מטפל תואם, ולכן הלולאה נכנסת לשינה ומנסה שוב. השתל בנוי לא לעשות דבר במקום לנחש.

מה עושה המילה "first" במשפט הזה?

הטענה של Talos מצומצמת יותר ממה שרוב הסיקור רמז, והצמצום הזה חשוב. החברה אומרת "האימפלנט הראשון ל-Windows שתועד באופן פומבי שמיישם את המודל הזה על פיקוד ושליטה טקטיים" — לא התוכנה הזדונית הראשונה מבוססת AI, ולא התוכנה הזדונית הראשונה שמשתמשת במודל שפה. מה שמוצג כחדש הוא צורת ההאצלה: כמה ספקים מסחריים נשאלים כפאנל החלטה בעל יתירות, שבוחר טקטיקה על המארח הנגוע.

המסגור הזה היה שנוי במחלוקת, והמחלוקת היא על האופן שבו הדברים מוצגים ולא על הממצאים הטכניים. תדרוך עצמאי שפורסם באותו יום על ידי האנליסט P.K. Sharma בוחן את הטענה ומסיק שהטענה הארכיטקטונית הצרה מחזיקה מעמד מול המידע הפומבי, ואילו "הרושם הרחב יותר שלפיו זהו הופעת הבכורה של תוכנה זדונית מונעת בינה מלאכותית אינו מחזיק מעמד" — תוך שהוא מצביע על מקרים פומביים קודמים שבהם תוכנה זדונית פנתה למודל שפה בזמן ריצה, והבולט שבהם LameHug, שדווח על ידי CERT-UA של אוקראינה ביולי 2025 ושהיא השתמשה במודל כדי ליצור את הפקודות שהיא הפעילה לאחר מכן. לפי קריאה זו, מה שהשתנה בספטמבר 2026 הוא שהמודלים בוחרים את הטקטיקה במקום לכתוב את הפקודה.

הדיווח עצמו זכה לאותה התייחסות. ב-23 בספטמבר ציין הערוץ On the Wire כי רוב הסיקור בעיתונות המקצועית שמר על ממצאו של Talos ועל ההסתייגות של Talos יחד, אך ש"כותרת אחת רחבת תפוצה לא עשתה כן", והצביע במיוחד על כותרת שקבעה שתוכנה זדונית מבוססת בינה מלאכותית הוציאה את האדם מלולאת התקיפה, ככותרת שאינה נתמכת במחקר שעומד מאחוריה. מאמר בנושא הנדסת זיהוי שהועלה ל-Zenodo ב-7 באוקטובר ניסח את אותו גבול במשפט אחד: "כל טענה היא טענה על עיצוב, לא על פגיעה."

אף אחד מהמבקרים הללו אינו חולק על מה שנמצא בתוך הקובץ הבינארי. גם הארכיון אינו רושם את הרשומה כשנויה במחלוקת. המחלוקת היא בשאלה כמה מותר ליכולת מקומפלת, שמעולם לא נראתה פועלת, לרמוז.

החברה שמצאה את זה גם מוכרת את הפתרון

פרט אחד בגילוי ראוי לומר בבירור. CLOSEDQUORUM עלה דרך CAIRN, ערכת הכלים בקוד פתוח של Talos עצמה לאיתור נוזקות המשולבות ב-AI, שאותה פרסמה Talos באותו יום. Talos היא חטיבה של Cisco, שמוכרת את מוצרי הרשת ונקודות הקצה שמטפלים בסוג זה של איום. כלל Snort שהונפק למשפחה, 1:66984, הוא מוצר של Cisco, והתיעוד הציבורי של הכלל מגדיר את השימוש הידוע כ"Attacks/Scans seen in the wild" — ניסוח תקיף יותר מהקביעה של פוסט המחקר עצמו שאין אישור לפריסה בשטח. תיעוד הכלל מתאר על מה הכלל מתריע, לא ראיה לקורבן, ושתי הקביעות אינן סותרות רשמית; יש להן משקל שונה. קורא השוקל ממצא של ספק צריך להישען על הפרט הטכני, שניתן לבדיקה, ולא על המסגור, שאינו ניתן לבדיקה.

מה אומרים למגינים לחפש

מכיוון שהתשתית לגיטימית, חסימת דומיינים אינה זמינה. ההנחיה של Talos היא מתאם התנהגותי: אף אות בודד אינו מזהה את האימפלנט, אך שילוב כן. הרשימה ש-Talos נותן היא:

• תעבורת API אל ספקי מודלי AI שמקורה בקובץ הפעלה של Windows שאין לו סיבה להשתמש בשירות כזה

• בקשות דומות שנשלחו לכמה ספקים בתוך פרק זמן קצר מאותו תהליך

• פרומפטים הנושאים פרטי מארח או ניסוח של יכולת התקפית, הנראים רק באמצעות בדיקת TLS או בצד הספק

• הזרקת תהליכים, גישה לזיכרון של פרטי התחברות או התמדה חדשה באותו מארח

• תעבורת webhook של Discord מאותו תהליך או מארח

• הרצה חוזרת במרווחים אקראיים של חמש עד חמש עשרה דקות

ההיגיון שמאחורי האות של ריבוי ספקים הוא החלק הניתן להעברה ביותר של הממצא. תוכנה לגיטימית מתחייבת לספק אחד, או עוברת לספק שני כאשר הראשון נכשל. תוכנה שפונה לארבעה ספקים במקביל ומשווה את התשובות עושה משהו אחר. Talos פרסמה כלל YARA ואת כלל Snort לצד הפוסט, ושישה ערכי גיבוב SHA-256 המכסים בנייות מתקופת פיתוח של כששבוע. ב-The Hacker News דווח ב-23 בספטמבר שקובץ הכללים שסופק עם CAIRN לא הכיל בעצמו כלל CLOSEDQUORUM, כך שמשתמשי CAIRN נאלצו להוסיף את הכלל של Talos ידנית; הכלל מפורסם בפוסט הבלוג.

מה הגילוי משנה

מעט מאוד על ההווה, ומשהו על העתיד הקרוב. Talos בוטה בהערכה שלו עצמו: CLOSEDQUORUM "מוטב להבין אותו לא ככלי תוכנה זדונית מתוחכם, אלא כהדגמה לכך שהשינוי הארכיטקטוני לעבר אוטומציה של שרשרת תקיפה מגיע". היכולות שהוא יכול להפעיל הן כלי תפעול שגרתיים לאחר חדירה. מה שחדש הוא שהבחירה איזו יכולת להשתמש בהต่อไป הועברה מהמפעיל אל פאנל הצבעה של מודלים מסחריים, שפועל בין אם מישהו ער ובין אם לאו.

המונח של טאלוס לכך הוא הסטת מאמץ, וזו טענה לגבי היכן ששלב של התקפה שוכן ולא לגבי כמה מהר הוא פועל — המפעיל אינו הופך למהיר יותר, אלא מוסר מקבלת החלטה. אותו עיצוב, מציין טאלוס, מעניק למגנים סט של חולשות לעבוד איתן: ספקים מסרבים, מגבילים קצב ומחזירים פלט פגום, מרחב הפעולות הוא ארבע מילים בלבד, ושבירת השוויון צפויה. אוטונומיה כאן מחליפה מגבלות אנושיות במגבלות של מודל ותשתית.

שום דבר ברשומה לא אומר שזה שימש בפועל. מה שכן נאמר בה הוא שהארכיטקטורה מתקמפלת, שמישהו בנה אותה כדי למכור, ושהמאפיין המבחין קריא מספיק מבחוץ כדי שמגן יוכל לספור ספקים לכל תהליך. זו טענה קטנה יותר מזו שבכותרות, ושימושית יותר.