Cisco Talos、次の動きを4つのLLMが投票で決めるWindowsインプラントを発見

2026年9月22日、Cisco Talosは、攻撃者の指示を待たないWindowsインプラント「CLOSEDQUORUM」に関する調査結果を公表した。ひとたび実行されると、このインプラントは侵入先のマシンについて説明し、次に何をすべきかを最大4つの商用AIモデル——DeepSeek、Qwen、Mistral、Google Gemini——に尋ね、それらの回答を票として数え、4つの行動のうち最も多く票を得たものを実行する。Talosはこれを「私たちの知る限り、このモデルを戦術的な指揮統制に適用した、公に文書化された初のWindowsインプラント」と呼んでいる。同じ投稿では、Talosはこのインプラントが実際に配備されたという確認は得ておらず、公に流通しているコピーは機能しないとも述べている。そのAPIキーと外部送信用Webhookはプレースホルダーだからだ。ユーザーへの被害は記録されていない。完全な記録は、出典と深刻度評価とともにAIインシデントアーカイブに、他の文書化されたAI兵器に関する調査結果と並んで収められている。

Talosがインプラントの機能について述べていること

Talosが説明するサンプルは、Goで書かれた16.4MBの64ビットWindows実行ファイルで、Windowsのシステム関数を直接呼び出せるようCも一部混在している。目新しさはペイロードにあるのではない。このインプラントには、通信先として攻撃者が運用するサーバーが存在しない点にある。コマンドアンドコントロール用ドメインの代わりに、大規模言語モデルプロバイダーのAPIエンドポイントを利用しているのだ。それは何千もの正規アプリケーションが毎日接続しているインフラであり、したがって見つけ次第ブロックするわけにはいかない。

各サイクルで、ルーチンがホストに関する基本情報を収集する。ホスト名、Windowsのバージョンとアーキテクチャ、プロセッサ数、およびインプラントが管理者権限で実行されているかどうかだ。そのテキストはプロンプトに埋め込まれ、プロバイダーへ1つずつ送信される。モデルには文章を求めていない。Talosはバイナリからシステムプロンプトを抽出し、次のように引用している。「あなたは高度なマルウェア戦略家である。実行可能な判断のみを示せ。」各応答は、decisionフィールドが4つのアクションのいずれかを示す型付き構造へデシリアライズされなければならず、そうでなければ破棄される。

4つのアクションは、人間が記述してバイナリにコンパイルした機能モジュールにルーティングされます。steal は3つの収集ルーチンをまとめて実行します。Windowsの資格情報メモリのダンプ、保存済みのブラウザパスワード、暗号通貨ウォレットファイルです。inject は別のプロセス内でコードを実行します。persist はインプラントが自力で再起動するように仕掛けます。move は横展開オプションですが、Talosが調査したビルドにはハンドラがまったくありません。モデルがそれに投票しても何も起こりません。

勝利を決する判断は実行前にDiscordのWebhookへ投稿されるため、オペレーターはパネルの選択とその明示された理由がチャットチャンネルにリアルタイムで届くのを見守ることになる。盗まれた資料は同じチャンネルへ送られ、現在の日付から導出した鍵で暗号化される。Talosはその選択を鋭く評する。開発者は常に日付を知っているのだから、それは「難読化にすぎず、開発者とオペレーターの間の真の機密分離ではない」と。

何が確立されており、何が確立されていないのか

Talos はその線引きについて異例なほど明示的であり、二つの半分を一緒に保つ価値がある。静的解析で明らかになるのは意思決定ループそのものである。すなわち、プロバイダー一覧、クエリの順序、投票の集計、型付き応答、そして勝った単語からケイパビリティへのルーティングだ。バイナリはストリップされていないため、この処理を行う関数名はファイル内で読める。開発ビルドでは、プロバイダーの認証情報がコンパイル時に書き込まれていることがわかる。

確立されていないのは、そのいずれかが実際のマシンに対して完全なサイクルを一度でも実行したかどうかである。Talosは、公開配布ビルドは「不活性なテンプレート」であると述べている。すべてのモデルAPIキーはプレースホルダー文字列で初期化され、Webhookはダミーアドレスで初期化され、バイナリは「配布された状態では機能しない」。Talosは「そのアーキテクチャの完全なエンドツーエンド実行を観測しなかった」と述べている。また、投稿の冒頭段落で、実環境での展開について確認はないとも述べている。

Talosがコードとともに見つけたのは、ある種の帰属情報だった。バイナリ内の痕跡から、その開発者が、盗まれた支払いカードデータの取引であるカーディングに関する犯罪フォーラムの投稿に、{{1}}2025{{/1}}年までさかのぼって結びつけられた。その投稿は開発者の名前を明かしておらず、開発者がこのツールで攻撃を実行したことを立証するものでもない。Talosは代わりに、これは製品だと評価している。開発者が各顧客向けに、その顧客のAPIキーとwebhookを組み込んだカスタマイズ済みの実行ファイルをコンパイルし、配布は顧客が行う。Talosはその可能性の高いモデルを「credentials-as-a-service」と呼んでおり、そこでの売り物は{{2}}オーケストレーション層{{/2}}だ。

この中には、被害者も、キャンペーンも、配備もどこにも記録されていない。アーカイブはこの項目を配備イベントではなく研究上の知見として分類しており、実際の害は記録されていない——これは何が文書化されているかについての記述であり、何も起こらなかったという主張ではない。

クォーラムという言葉を損なうタイブレーク

その名前からは、4つのモデルが合意するまで審議する姿が思い浮かぶ。実装はそれよりも緩い。勝者は過半数ではなく相対多数で決まる。最も多くのモデルが挙げた決定が勝ち、たとえそれが四つ巴の分裂で4票中1票であっても構わない。合意は必要ない。

同点は、誰にも再度尋ねることなく解決される。Talosは、その集計ループを完全に決定的でDeepSeekに偏ったものだと説明している。DeepSeekが最初に問い合わせられ、比較は最高カウントに最初に到達した決定を保持するため、同点はすべてDeepSeekの票で決まる。DeepSeekが利用できない場合はQwenが決定票を引き継ぎ、次にMistral、次にGeminiとなる。どのプロバイダーが応答したかを知っている防御側は、モデルの返答を1つも読まずに、判断が割れた場合の結果を予測できる。

もう一つ、より静かな設計上の事実がある。すべてのモデルが拒否するか、タイムアウトするか、不正な形式の出力を返した場合、フォールバックは既定のアクションではない。Talosによれば、フォールバックの決定は一致するハンドラのない文字列であり、そのためループはスリープして再試行する。インプラントは推測するよりも何もしないように作られている。

その文で「first」という語が果たしている役割とは何か

Talos の主張は、ほとんどの報道が示唆した範囲より狭く、その狭さが重要だ。同社は「このモデルを戦術的な指揮統制に適用した、公開文書化された最初の Windows インプラント」と述べており、最初の AI マルウェアでも、言語モデルを使った最初のマルウェアでもない。新しいと主張されているのは委任の形、すなわち複数の商用プロバイダーに冗長な意思決定パネルとして照会し、感染ホスト上で戦術を選択することだ。

その位置づけについては議論されてきたが、議論の焦点は技術的知見ではなく見せ方にある。アナリストのP.K. Sharmaが同日に公開した独立系ブリーフィングはこの主張を検証し、狭義のアーキテクチャ上の主張は公開記録に照らして成立する一方、「AI駆動型マルウェアの初登場だというより広い印象は成立しない」と結論づけている。同ブリーフィングは、マルウェアが実行時に言語モデルへ問い合わせた以前の公開事例を挙げ、最も明確なのはLameHugだとしている。LameHugはウクライナのCERT-UAが2025年7月に報告したもので、モデルを使って自ら実行するコマンドを生成していた。この読み方では、2026年9月に変わったのは、モデルがコマンドを書くのではなく戦術を選ぶようになったことだ。

報道自体も同じ扱いを受けた。9月23日、媒体On the Wireは、業界報道の大半はTalosの発見とTalosの留保事項を併記していたが、「広く読まれたある見出しはそうしなかった」と指摘し、AIマルウェアが攻撃ループから人間を排除したと断言する見出しを、その根拠となる研究に支持されていないものとして特に取り上げた。10月7日にZenodoに投稿された検出エンジニアリングの論文は、同じ限界を一文でこう述べた。「あらゆる主張は設計についての主張であり、侵害についての主張ではない。」

これらの批評家は誰も、バイナリの中身について異議を唱えていない。同様に、アーカイブもその項目を異議ありとして記録していない。意見の相違は、実行されているところを一度も見られていないコンパイル済みの能力が、どこまでを示唆することを許されるべきかという点にある。

それを発見した企業は、その修正策も販売している。

開示内容のうち、一つだけ率直に述べておく価値のある細部がある。CLOSEDQUORUMは、Talosが同日に公開した、AI統合型マルウェアを追跡するためのTalos自身のオープンソースツールキットであるCAIRNを通じて浮上した。TalosはCiscoの部門であり、Ciscoはこの種の脅威に対処するネットワーク製品とエンドポイント製品を販売している。このファミリー向けに発行されたSnortルール1:66984はCisco製品であり、その公開ルールドキュメントは既知の使用状況を「Attacks/Scans seen in the wild」と表記している。これは、実際の攻撃での展開が確認されていないという調査記事自体の記述よりも断定的な言い回しである。ルールドキュメントは、そのルールが何に対して警告を出すかを説明しているのであって、被害者の証拠を示しているわけではない。両者の記述は形式的には矛盾しておらず、重み付けが異なるだけである。ベンダーの調査結果を評価する読者は、検証できない見せ方ではなく、検証可能な技術的詳細に依拠すべきである。

防御側は何を探すよう指示されているのか

インフラストラクチャが正規のものであるため、ドメインブロッキングは利用できません。Talosの指針は行動相関です。単一のシグナルではインプラントを特定できませんが、組み合わせれば特定できます。Talosが挙げるリストは次のとおりです。

• 利用する理由のないWindows実行ファイルから発生する、AIモデルプロバイダーへのAPIトラフィック

• 同一プロセスから短い間隔で複数のプロバイダーに送信された類似のリクエスト

• ホストの詳細や攻撃能力に関する文言を含み、TLS検査またはプロバイダー側でのみ可視となるプロンプト

• 同一ホスト上でのプロセスインジェクション、認証情報メモリへのアクセス、または新たな永続化

• そのプロセスまたはホストからのDiscord Webhookトラフィック

• 5～15分のランダムな間隔で実行を繰り返す

マルチプロバイダー・シグナルの背景にある考え方は、この発見の中で最も他へ応用しやすい部分だ。正規のソフトウェアは1つのプロバイダーに固定するか、最初のプロバイダーでエラーが起きたときに2つ目へフェイルオーバーする。4つにファンアウトして回答を比較するソフトウェアは、別のことをしている。Talosは投稿と併せてYARAルールとSnortルール、および約1週間の開発期間のビルドを網羅する6つのSHA-256ハッシュを公開した。The Hacker Newsは9月23日、CAIRNに同梱されたルールファイル自体にはCLOSEDQUORUMルールが含まれていなかったため、CAIRNのユーザーはTalosのルールを手動で追加する必要があったと報じた。同ルールはブログ投稿で公開されている。

開示が変えるもの

現在についてはごくわずかしか触れておらず、近い将来についてはいくつか述べている。Talosは自らの評価において率直だ。CLOSEDQUORUMは「洗練されたマルウェアとしてではなく、攻撃チェーンの自動化に向けたアーキテクチャ上の転換が到来しつつあることを示す実証として理解するのが最も適切だ」としている。それが起動できる機能は、通常の侵害後ツール群にすぎない。新しいのは、次にどの機能を使うかの選択がオペレーターから商用モデルによる投票パネルへ移され、誰かが起きているかどうかに関係なく稼働していることだ。

Talosはそれを「エフォート・ディスプレイスメント（努力の置き換え）」と呼ぶ。これは攻撃のある段階がどこに存在するかについての主張であり、それがどれだけ速く動くかではない——オペレーターは速くなるのではなく、ある判断から外される。Talosが指摘するように、同じ設計は防御側に活用できる弱点の一式を渡す。プロバイダーは拒否し、レート制限をかけ、不正な形式の出力を返し、行動空間は四語分の幅しかなく、タイブレークは予測可能だ。ここでの自律性は、人間の限界をモデルとインフラの限界と引き換えにしている。

記録には、これが使われたとは何も書かれていない。書かれているのは、そのアーキテクチャのコンパイルが通ること、誰かが販売目的でそれを構築したこと、そしてその際立った特徴が外部から十分に読み取れるため、防御側がプロセスごとのプロバイダー数を数えられるということだ。それは見出しの主張より小さく、より有用な主張である。