Cisco Talos scopre un implant per Windows che consente a quattro LLM di votare sulla sua prossima mossa

Il 22 settembre 2026 Cisco Talos ha pubblicato una ricerca su CLOSEDQUORUM, un impianto Windows che non aspetta le istruzioni di un attaccante. Una volta in esecuzione, descrive la macchina su cui è approdato, interroga fino a quattro modelli AI commerciali su cosa fare dopo — DeepSeek, Qwen, Mistral e Google Gemini — conta le loro risposte come voti ed esegue quella delle quattro azioni che vince. Talos lo definisce "per quanto ne sappiamo, il primo impianto Windows documentato pubblicamente ad applicare questo modello al comando e controllo tattico". Lo stesso post afferma che Talos non ha conferme che l'impianto sia mai stato distribuito e che la copia che circola pubblicamente non funziona: le sue chiavi API e il suo webhook di esfiltrazione sono segnaposto. Non è registrato alcun danno per alcun utente. Il resoconto completo, con le sue fonti e la classificazione di gravità, si trova nell'archivio degli incidenti AI insieme agli altri risultati documentati sulle armi AI.

Cosa dice Talos che faccia l'impianto

Il campione descritto da Talos è un eseguibile Windows a 64 bit da 16,4 MB scritto in Go, con una parte in C integrata così da poter chiamare direttamente le funzioni di sistema di Windows. La sua novità non risiede nel payload. Sta nel fatto che l'implant non ha alcun server gestito dagli attaccanti a cui connettersi. Invece di un dominio di comando e controllo, utilizza gli endpoint API dei fornitori di modelli linguistici di grandi dimensioni — un'infrastruttura che migliaia di applicazioni legittime contattano ogni giorno e che, quindi, non può essere bloccata a prima vista.

A ogni ciclo, una routine raccoglie informazioni di base sull'host: il suo nome, la versione e l'architettura di Windows, il numero di processori e se l'implant è in esecuzione con diritti di amministratore. Quel testo viene inserito in un prompt e inviato ai provider uno alla volta. Ai modelli non viene chiesto testo in prosa. Talos ha estratto il prompt di sistema dal binario e lo cita: "Sei uno stratega avanzato del malware. Fornisci SOLO decisioni eseguibili." Ogni risposta deve essere deserializzata in una struttura tipizzata il cui campo decisione indica una delle quattro azioni, altrimenti viene scartata.

Le quattro azioni sono indirizzate a moduli di capacità che una persona ha scritto e compilato nel binario. steal esegue insieme tre routine di raccolta: un dump della memoria delle credenziali di Windows, delle password salvate nei browser e dei file di portafoglio di criptovalute. inject esegue codice all'interno di un altro processo. persist fa in modo che l'impianto si avvii di nuovo autonomamente. move, l'opzione di movimento laterale, non ha alcun handler nella build esaminata da Talos — un modello può votarla e non succede nulla.

La decisione vincente viene pubblicata su un webhook di Discord prima di essere eseguita, così l'operatore vede la scelta del pannello e la motivazione dichiarata arrivare in un canale chat in tempo reale. Il materiale rubato finisce nello stesso canale, cifrato con una chiave derivata dalla data corrente. Talos interpreta quella scelta in modo netto: poiché lo sviluppatore conosce sempre la data, si tratta di "offuscamento, non di una vera separazione di riservatezza tra sviluppatore e operatore".

Che cosa è stabilito e che cosa non lo è

Talos è insolitamente esplicito riguardo alla linea, e vale la pena tenere insieme le due metà. Ciò che l'analisi statica stabilisce è il ciclo decisionale stesso: l'elenco dei provider, l'ordine delle query, il conteggio dei voti, la risposta tipizzata e l'instradamento da una parola vincente a una capacità. Il binario non era stato stripato, quindi i nomi delle funzioni che svolgono questo lavoro sono leggibili nel file. Le build di sviluppo mostrano che le credenziali dei provider vengono scritte in fase di compilazione.

Ciò che non è stato stabilito è che qualcuno di questi elementi abbia mai eseguito un ciclo completo su una macchina reale. Talos afferma che la build di distribuzione pubblica è «un template inerte»: ogni chiave API del modello viene inizializzata a una stringa segnaposto, il webhook viene inizializzato a un indirizzo fittizio e il binario è «non funzionale così com'è distribuito». Talos afferma di «non aver osservato un'esecuzione end-to-end completa dell'architettura». Afferma inoltre, nel paragrafo iniziale del post, di non avere conferma di una distribuzione in-the-wild.

Ciò che Talos ha effettivamente trovato insieme al codice è stata un’attribuzione, in un certo senso. Gli artefatti del binario collegavano il suo sviluppatore a messaggi su forum criminali riguardanti il carding, il commercio di dati di carte di pagamento rubate, risalenti al 2025. Il post non nomina lo sviluppatore e non stabilisce che lo sviluppatore abbia condotto attacchi con lo strumento. Talos valuta invece che si tratti di un prodotto: uno sviluppatore compila un eseguibile personalizzato per ciascun cliente, con le chiavi API e il webhook di quel cliente incorporati, e il cliente gestisce la consegna. Talos chiama il modello probabile “credentials-as-a-service”, in cui il punto di forza è il livello di orchestrazione.

Nessuna vittima, nessuna campagna e nessun dispiegamento è registrato in alcuna parte di questo documento. L'archivio classifica la voce come un risultato di ricerca anziché come un evento di dispiegamento, senza alcun danno reale registrato — il che è un'affermazione su ciò che è stato documentato, non una dichiarazione che nulla sia accaduto.

Lo spareggio che indebolisce la parola quorum

Il nome evoca l'immagine di quattro modelli che deliberano finché non raggiungono un accordo. L'implementazione è meno rigida di così. Il vincitore è deciso a maggioranza relativa, non assoluta: vince la decisione indicata dal maggior numero di modelli, anche se si tratta di un solo voto su quattro in una ripartizione a quattro vie. Non è richiesto l'accordo.

I pareggi vengono risolti senza chiedere di nuovo a nessuno. Talos descrive il ciclo di conteggio come completamente deterministico e sbilanciato a favore di DeepSeek: DeepSeek viene interrogato per primo, il confronto mantiene la prima decisione a raggiungere il conteggio più alto, quindi il voto di DeepSeek decide ogni parità. Se DeepSeek non è disponibile, Qwen eredita il voto decisivo, poi Mistral, poi Gemini. Un difensore che sa quali provider hanno risposto può prevedere l'esito di una decisione divisa senza leggere una singola risposta di un modello.

C'è un secondo fatto progettuale, più silenzioso. Se ogni modello rifiuta, va in timeout o restituisce un output malformato, il fallback non è un'azione predefinita. Talos afferma che la decisione di fallback è una stringa priva di un handler corrispondente, quindi il ciclo va in sleep e riprova. L'impianto è costruito per non fare nulla anziché tirare a indovinare.

Che cosa ci fa la parola "first" in quella frase

L'affermazione di Talos è più circoscritta di quanto la maggior parte della copertura abbia lasciato intendere, e questa delimitazione è importante. L'azienda parla di «primo impianto Windows documentato pubblicamente ad applicare questo modello al comando e controllo tattico» — non di primo malware AI, né di primo malware a usare un modello linguistico. Ciò che viene rivendicato come nuovo è la forma della delega: diversi fornitori commerciali interrogati come panel decisionale ridondante, che scelgono una tattica sull'host infetto.

Quell'impostazione è stata oggetto di dibattito, e il dibattito verte sulla presentazione più che sui risultati tecnici. Un briefing indipendente pubblicato lo stesso giorno dall'analista P.K. Sharma mette alla prova la tesi e conclude che la tesi architettonica in senso stretto regge rispetto a quanto è pubblicamente documentato, mentre «l'impressione più ampia che questo sia il debutto di malware guidato dall'IA non regge» — indicando precedenti casi pubblici in cui il malware interrogava un modello linguistico a runtime, il più evidente dei quali è LameHug, segnalato dal CERT-UA ucraino nel luglio 2025 e che usava un modello per generare i comandi che poi eseguiva. In questa lettura, ciò che è cambiato nel settembre 2026 è che i modelli scelgono la tattica invece di scrivere il comando.

Anche il resoconto giornalistico è finito sotto lo stesso trattamento. Il 23 settembre la testata On the Wire ha osservato che gran parte della copertura di settore aveva tenuto insieme la scoperta di Talos e l’avvertenza di Talos, ma che "un titolo molto letto non lo aveva fatto", e ha segnalato in particolare un titolo che affermava che il malware basato sull’IA aveva eliminato l’essere umano dal ciclo dell’attacco, definendolo non supportato dalla ricerca su cui si basava. Un articolo di ingegneria del rilevamento pubblicato su Zenodo il 7 ottobre ha formulato lo stesso limite in una frase: "Ogni affermazione è un’affermazione su un progetto, non su una compromissione."

Nessuno di questi critici contesta ciò che si trova all'interno del binario. Allo stesso modo, l'archivio non registra la voce come contestata. Il disaccordo riguarda quanto si dovrebbe consentire a una capacità compilata, mai vista in esecuzione, di implicare.

L'azienda che l'ha scoperto vende anche la correzione.

Un dettaglio nella divulgazione merita di essere detto chiaramente. CLOSEDQUORUM è emerso tramite CAIRN, il toolkit open source di Talos per la caccia a malware integrato con l'IA, che Talos ha rilasciato lo stesso giorno. Talos è una divisione di Cisco, che vende i prodotti di rete e per endpoint che affrontano questa classe di minaccia. La regola Snort emessa per la famiglia, 1:66984, è un prodotto Cisco, e la sua documentazione pubblica della regola etichetta l'uso noto come "Attacks/Scans seen in the wild" — una formulazione più ferma rispetto all'affermazione del post di ricerca secondo cui non vi è conferma di diffusione in the wild. La documentazione della regola descrive ciò su cui la regola genera avvisi, non prove di una vittima, e le due affermazioni non sono formalmente contraddittorie; hanno un peso diverso. Un lettore che soppesa le conclusioni di un fornitore dovrebbe basarsi sul dettaglio tecnico, che può essere verificato, piuttosto che sulla presentazione, che non può esserlo.

Cosa viene detto ai difensori di cercare

Poiché l'infrastruttura è legittima, il blocco dei domini non è disponibile. L'indicazione di Talos è la correlazione comportamentale: nessun singolo segnale identifica l'implant, ma una combinazione sì. L'elenco fornito da Talos è:

• Traffico API verso fornitori di modelli AI proveniente da un eseguibile Windows che non avrebbe alcun motivo di utilizzarne uno

• Richieste simili inviate a più fornitori in un breve intervallo dallo stesso processo

• Prompt che contengono dettagli sugli host o un linguaggio relativo a capacità offensive, visibili solo tramite ispezione TLS o lato provider

• Iniezione di processi, accesso alla memoria delle credenziali o nuova persistenza sullo stesso host

• Traffico webhook Discord da quel processo o host

• Esecuzione che si ripete a intervalli casuali da cinque a quindici minuti

Il ragionamento alla base del segnale multi-provider è la parte più trasferibile della scoperta. Il software legittimo si affida a un solo provider, oppure passa a un secondo quando il primo dà errore. Un software che si dirama verso quattro provider e confronta le risposte sta facendo qualcos'altro. Talos ha pubblicato una regola YARA e la regola Snort insieme al post, oltre a sei hash SHA-256 che coprono build di circa una settimana di sviluppo. Il 23 settembre The Hacker News ha riportato che il file di regole distribuito con CAIRN non conteneva di per sé una regola CLOSEDQUORUM, quindi gli utenti di CAIRN hanno dovuto aggiungere manualmente la regola di Talos; la regola è pubblicata nel post del blog.

Cosa cambia l'informativa

Molto poco sul presente, e qualcosa sul futuro prossimo. Talos è schietto nella propria valutazione: CLOSEDQUORUM è «meglio inteso non come un sofisticato pezzo di malware, ma come una dimostrazione che il passaggio architetturale verso l'automazione della catena d'attacco è in arrivo». Le capacità che può attivare sono normali strumenti post-compromissione. Ciò che è nuovo è che la scelta di quale capacità usare successivamente è stata spostata dall'operatore a un panel di voto di modelli commerciali, che gira indipendentemente dal fatto che qualcuno sia sveglio o meno.

La parola di Talos per questo è spostamento dello sforzo, ed è un'affermazione su dove risiede una fase di un attacco, non su quanto velocemente viene eseguita: l'operatore non viene reso più rapido, ma rimosso da una decisione. Lo stesso design, osserva Talos, offre ai difensori una serie di debolezze su cui lavorare: i provider rifiutano, applicano limiti di frequenza e restituiscono output malformati, lo spazio delle azioni è di quattro parole e lo spareggio è prevedibile. L'autonomia qui scambia i limiti umani con i limiti del modello e dell'infrastruttura.

Niente nella documentazione dice che sia stato usato. Ciò che dice è che l'architettura si compila, che qualcuno l'ha costruita per venderla e che la caratteristica distintiva è sufficientemente leggibile dall'esterno da permettere a un difensore di contare i provider per processo. È un'affermazione più limitata di quella dei titoli, e più utile.