Cisco Talos Menemukan Implan Windows yang Memungkinkan Empat LLM Memilih Langkah Berikutnya

Pada 22 September 2026, Cisco Talos menerbitkan riset tentang CLOSEDQUORUM, sebuah implan Windows yang tidak menunggu instruksi penyerang. Setelah berjalan, ia mendeskripsikan mesin yang telah dimasukinya, menanyakan kepada hingga empat model AI komersial apa yang harus dilakukan selanjutnya — DeepSeek, Qwen, Mistral, dan Google Gemini — menghitung jawaban mereka sebagai suara, lalu menjalankan salah satu dari empat tindakan yang menang. Talos menyebutnya "sejauh pengetahuan kami, implan Windows pertama yang didokumentasikan secara publik yang menerapkan model ini pada komando dan kendali taktis". Pos yang sama menyatakan Talos tidak memiliki konfirmasi bahwa implan tersebut pernah dikerahkan, dan bahwa salinan yang beredar publik tidak berfungsi: kunci API dan webhook eksfiltrasinya adalah placeholder. Tidak ada catatan kerugian pada pengguna mana pun. Catatan lengkapnya, beserta sumber dan penilaian tingkat keparahannya, berada di arsip insiden AI bersama temuan senjata AI lain yang terdokumentasi.

Apa yang Talos katakan tentang fungsi implan

Sampel yang dijelaskan Talos adalah executable Windows 64-bit berukuran 16,4MB yang ditulis dalam Go, dengan sedikit C dicampur agar dapat memanggil fungsi sistem Windows secara langsung. Kebaruannya bukan pada payload-nya. Kebaruannya adalah bahwa implan tersebut tidak memiliki server yang dioperasikan penyerang untuk dihubungi. Alih-alih domain command-and-control, ia menggunakan endpoint API dari penyedia model bahasa besar — infrastruktur yang dihubungi ribuan aplikasi sah setiap hari, dan karena itu tidak dapat langsung diblokir begitu terlihat.

Setiap siklus, sebuah rutinitas mengumpulkan fakta dasar tentang host: namanya, versi dan arsitektur Windows-nya, jumlah prosesornya, dan apakah implan berjalan dengan hak administrator. Teks itu dimasukkan ke dalam prompt dan dikirim ke penyedia satu per satu. Model tidak diminta menghasilkan prosa. Talos mengekstrak prompt sistem dari biner tersebut dan mengutipnya: "Anda adalah ahli strategi malware tingkat lanjut. Berikan HANYA keputusan yang dapat dieksekusi." Setiap balasan harus dideserialisasi menjadi struktur bertipe yang bidang keputusannya menyebutkan salah satu dari empat tindakan, atau balasan itu dibuang.

Keempat tindakan tersebut mengarah ke modul kapabilitas yang ditulis dan dikompilasi oleh manusia ke dalam biner. steal menjalankan tiga rutinitas pengumpulan sekaligus: dump memori kredensial Windows, kata sandi browser yang tersimpan, dan file dompet mata uang kripto. inject menjalankan kode di dalam proses lain. persist mengatur agar implan mulai lagi dengan sendirinya. move, opsi pergerakan lateral, sama sekali tidak memiliki handler dalam build yang diperiksa Talos — model dapat memilihnya dan tidak terjadi apa-apa.

Keputusan yang menang diposting ke webhook Discord sebelum dieksekusi, sehingga operator menyaksikan pilihan panel dan alasan yang dinyatakannya tiba di kanal obrolan secara real-time. Materi curian dikirim ke kanal yang sama, dienkripsi dengan kunci yang diturunkan dari tanggal saat ini. Talos menafsirkan pilihan itu dengan tajam: karena pengembang selalu mengetahui tanggalnya, itu adalah "obfuscation, bukan pemisahan kerahasiaan yang sesungguhnya antara pengembang dan operator".

Apa yang sudah mapan, dan apa yang belum

Talos sangat eksplisit tentang batas tersebut, dan ada baiknya menjaga kedua bagian itu tetap bersama. Yang ditetapkan oleh analisis statis adalah loop keputusan itu sendiri: daftar penyedia, urutan kueri, penghitungan suara, balasan bertipe, dan perutean dari kata pemenang ke kapabilitas. Binari tidak di-strip, sehingga nama fungsi yang melakukan pekerjaan ini dapat dibaca di dalam file. Build pengembangan menunjukkan kredensial penyedia dituliskan pada waktu kompilasi.

Yang belum dapat dipastikan adalah apakah ada bagian mana pun darinya yang pernah menjalankan siklus penuh pada mesin nyata. Talos menyatakan bahwa build distribusi publik adalah "templat inert": setiap kunci API model diinisialisasi ke string placeholder, webhook diinisialisasi ke alamat dummy, dan biner tersebut "tidak berfungsi sebagaimana didistribusikan". Talos mengatakan bahwa pihaknya "tidak mengamati eksekusi end-to-end yang lengkap dari arsitektur tersebut". Ia juga mengatakan, di paragraf pembuka postingan itu, bahwa pihaknya tidak memiliki konfirmasi tentang penerapan di dunia nyata.

Yang ditemukan Talos bersama kode tersebut adalah atribusi semacam itu. Artefak dari biner menghubungkan pengembangnya ke postingan di forum kriminal tentang carding, perdagangan data kartu pembayaran curian, yang berasal dari tahun 2025. Postingan itu tidak menyebut nama pengembang, dan tidak membuktikan bahwa pengembang menjalankan serangan dengan alat tersebut. Talos justru menilai bahwa hal itu adalah produk: pengembang mengompilasi executable yang disesuaikan untuk setiap pelanggan dengan kunci API dan webhook pelanggan tersebut tertanam di dalamnya, dan pelanggan menangani pengirimannya. Talos menyebut model yang kemungkinan itu "credentials-as-a-service", dengan nilai jualnya adalah lapisan orkestrasi.

Tidak ada korban, kampanye, maupun penerapan yang tercatat di mana pun dalam hal ini. Arsip mengklasifikasikan entri tersebut sebagai temuan penelitian, bukan peristiwa penerapan, tanpa kerugian nyata yang tercatat — yang merupakan pernyataan tentang apa yang telah didokumentasikan, bukan klaim bahwa tidak terjadi apa-apa.

Pemutus seri yang melemahkan kata kuorum

Nama itu mengundang gambaran tentang empat model yang berunding hingga mereka sepakat. Implementasinya lebih longgar dari itu. Pemenangnya ditentukan oleh pluralitas, bukan mayoritas: keputusan yang disebut oleh paling banyak model akan menang, bahkan jika itu hanya satu suara dari empat dalam perpecahan empat arah. Kesepakatan tidak diwajibkan.

Seri diselesaikan tanpa bertanya kepada siapa pun lagi. Talos menggambarkan loop penghitungan sebagai sepenuhnya deterministik dan condong ke DeepSeek: DeepSeek ditanyai lebih dulu, perbandingan mempertahankan keputusan pertama yang mencapai jumlah tertinggi, sehingga suara DeepSeek menentukan setiap seri. Jika DeepSeek tidak tersedia, Qwen mewarisi suara penentu, lalu Mistral, lalu Gemini. Seorang pembela yang mengetahui penyedia mana yang menjawab dapat memprediksi hasil dari perpecahan tanpa membaca satu pun balasan model.

Ada fakta desain kedua yang lebih sunyi. Jika setiap model menolak, kehabisan waktu, atau mengembalikan keluaran yang cacat, fallback bukanlah tindakan default. Talos mengatakan keputusan fallback adalah string yang tidak memiliki handler yang cocok, sehingga loop tidur dan mencoba lagi. Implan dibangun untuk tidak melakukan apa pun daripada menebak.

Apa fungsi kata "first" dalam kalimat itu

Klaim Talos lebih sempit daripada yang tersirat dari sebagian besar liputan, dan penyempitan itu penting. Perusahaan menyatakan "implan Windows pertama yang terdokumentasi secara publik yang menerapkan model ini pada komando dan kendali taktis" — bukan malware AI pertama, dan bukan malware pertama yang menggunakan model bahasa. Yang diklaim baru adalah bentuk pendelegasiannya: beberapa penyedia komersial dijadikan panel pengambil keputusan redundan, yang memilih taktik di host yang terinfeksi.

Kerangka itu telah diperdebatkan, dan perdebatannya menyangkut penyajian, bukan temuan teknisnya. Sebuah taklimat independen yang diterbitkan pada hari yang sama oleh analis P.K. Sharma menguji klaim tersebut dan menyimpulkan bahwa klaim arsitektural yang sempit tetap bertahan terhadap catatan publik, sedangkan "kesan yang lebih luas bahwa ini adalah kemunculan perdana malware yang digerakkan AI tidak" — dengan menunjuk pada kasus-kasus publik sebelumnya ketika malware mengkueri model bahasa saat runtime, paling jelas LameHug, yang dilaporkan CERT-UA Ukraina pada Juli 2025 dan yang menggunakan model untuk menghasilkan perintah yang kemudian dijalankannya. Berdasarkan pembacaan itu, yang berubah pada September 2026 adalah bahwa model memilih taktik alih-alih menulis perintah.

Liputan itu sendiri juga mendapat perlakuan yang sama. Pada 23 September, media On the Wire mencatat bahwa sebagian besar liputan industri telah menyatukan temuan Talos dan catatan kualifikasi Talos, tetapi bahwa "satu judul yang banyak dibaca tidak melakukannya", dan menyoroti sebuah judul yang menyatakan bahwa malware AI telah mengeluarkan manusia dari siklus serangan sebagai tidak didukung oleh riset yang mendasarinya. Sebuah makalah rekayasa deteksi yang diunggah ke Zenodo pada 7 Oktober merumuskan batasan yang sama dalam satu kalimat: "Setiap klaim adalah klaim tentang sebuah desain, bukan tentang sebuah kompromi."

Tidak ada dari para kritikus ini yang membantah apa yang ada di dalam berkas biner. Arsip itu pun tidak mencatat entri tersebut sebagai diperselisihkan. Ketidaksepakatan ini menyangkut sejauh mana kemampuan terkompilasi, yang belum pernah terlihat berjalan, boleh dibiarkan menyiratkan sesuatu.

Perusahaan yang menemukannya juga menjual perbaikannya.

Satu detail dalam pengungkapan ini layak dinyatakan secara terus terang. CLOSEDQUORUM muncul melalui CAIRN, toolkit open-source milik Talos sendiri untuk berburu malware terintegrasi AI, yang dirilis Talos pada hari yang sama. Talos adalah divisi Cisco, yang menjual produk jaringan dan endpoint yang menangani kelas ancaman ini. Aturan Snort yang diterbitkan untuk keluarga ini, 1:66984, adalah produk Cisco, dan dokumentasi aturan publiknya melabeli penggunaan yang diketahui sebagai "Attacks/Scans seen in the wild" — frasa yang lebih tegas daripada pernyataan postingan riset itu sendiri bahwa tidak ada konfirmasi tentang penerapan in-the-wild. Dokumentasi aturan tersebut menjelaskan apa yang menjadi pemicu peringatan aturan, bukan bukti adanya korban, dan kedua pernyataan itu tidak secara formal bertentangan; bobotnya berbeda. Pembaca yang menimbang temuan vendor sebaiknya bersandar pada detail teknis, yang dapat diperiksa, bukan pada framing, yang tidak dapat diperiksa.

Apa yang para defender diberitahu untuk dicari

Karena infrastrukturnya sah, pemblokiran domain tidak tersedia. Panduan Talos adalah korelasi perilaku: tidak ada satu sinyal pun yang mengidentifikasi implan, tetapi kombinasinya bisa. Daftar yang diberikan Talos adalah:

• Lalu lintas API ke penyedia model AI yang berasal dari executable Windows yang tidak memiliki alasan untuk menggunakannya

• Permintaan serupa yang dikirim ke beberapa penyedia dalam selang waktu singkat dari proses yang sama

• Prompt yang memuat detail host atau bahasa kapabilitas ofensif, yang hanya terlihat melalui inspeksi TLS atau di sisi penyedia

• Injeksi proses, akses memori kredensial, atau persistensi baru pada host yang sama

• Lalu lintas webhook Discord dari proses atau host tersebut

• Eksekusi yang berulang pada interval acak lima hingga lima belas menit

Alasan di balik sinyal multi-penyedia adalah bagian temuan yang paling dapat ditransfer. Perangkat lunak yang sah berkomitmen pada satu penyedia, atau melakukan failover ke penyedia kedua ketika penyedia pertama mengalami error. Perangkat lunak yang menyebar ke empat penyedia dan membandingkan jawabannya sedang melakukan sesuatu yang lain. Talos menerbitkan aturan YARA dan aturan Snort bersama posting tersebut, serta enam hash SHA-256 yang mencakup build dari sekitar satu minggu pengembangan. The Hacker News melaporkan pada 23 September bahwa file aturan yang dikirimkan bersama CAIRN tidak sendiri berisi aturan CLOSEDQUORUM, sehingga pengguna CAIRN harus menambahkan aturan Talos secara manual; aturan tersebut diterbitkan dalam posting blog.

Apa yang diubah oleh pengungkapan ini

Sedikit sekali tentang masa kini, dan sesuatu tentang masa depan yang dekat. Talos blak-blakan dalam penilaiannya sendiri: CLOSEDQUORUM "paling tepat dipahami bukan sebagai malware yang canggih, melainkan sebagai demonstrasi bahwa pergeseran arsitektural menuju otomasi rantai serangan akan segera tiba". Kemampuan yang dapat dipicunya adalah perkakas pascakompromi biasa. Yang baru adalah bahwa pemilihan kemampuan mana yang akan digunakan berikutnya telah dipindahkan dari operator ke panel pemungutan suara yang terdiri atas model-model komersial, yang berjalan terlepas dari apakah ada orang yang terjaga atau tidak.

Talos menyebutnya pergeseran usaha, dan itu adalah klaim tentang di mana suatu fase serangan berada, bukan seberapa cepat ia berjalan — operator tidak dibuat lebih cepat, tetapi dikeluarkan dari sebuah keputusan. Menurut Talos, desain yang sama memberi para pembela serangkaian kelemahan untuk dimanfaatkan: penyedia menolak, membatasi laju, dan mengembalikan output yang cacat, ruang aksi hanya selebar empat kata, dan penentu seri dapat diprediksi. Otonomi di sini menukar batasan manusia dengan batasan model dan infrastruktur.

Tidak ada dalam catatan yang menyatakan bahwa ini pernah digunakan. Yang dinyatakan adalah bahwa arsitekturnya dapat dikompilasi, bahwa seseorang membangunnya untuk dijual, dan bahwa fitur pembedanya cukup terbaca dari luar sehingga seorang defender dapat menghitung penyedia per proses. Itu klaim yang lebih kecil daripada judul-judul berita, dan klaim yang lebih berguna.