Cisco Talos, 네 개의 LLM이 다음 행보를 투표로 결정하게 하는 Windows 임플란트 발견

2026년 9월 22일 Cisco Talos는 공격자의 지시를 기다리지 않는 Windows 임플란트인 CLOSEDQUORUM에 관한 연구를 발표했습니다. 일단 실행되면 자신이 침투한 머신을 설명하고, 최대 네 개의 상용 AI 모델—DeepSeek, Qwen, Mistral, Google Gemini—에게 다음에 무엇을 할지 물은 뒤, 그 답변을 투표로 집계하고, 네 가지 행동 중 승리하는 것을 실행합니다. Talos는 이를 "우리가 아는 한, 이 모델을 전술 지휘통제에 적용한 최초의 공개적으로 문서화된 Windows 임플란트"라고 부릅니다. 같은 게시물은 Talos가 해당 임플란트가 실제로 배포된 적이 있다는 확인을 갖고 있지 않으며, 공개적으로 유포되는 사본은 작동하지 않는다고 밝힙니다: 사본의 API 키와 데이터 유출용 웹훅은 자리표시자입니다. 어떤 사용자에게도 피해가 기록되지 않았습니다. 전체 기록은 출처와 심각도 등급을 포함해AI 사고 아카이브다른 문서화된 AI 무기 발견 사례들과 함께

Talos가 임플란트가 하는 일이라고 말하는 것

Talos가 설명한 샘플은 Go로 작성된 16.4MB의 64비트 Windows 실행 파일이며, Windows 시스템 함수를 직접 호출할 수 있도록 일부 C 코드가 섞여 있습니다. 이 샘플의 참신한 점은 페이로드가 아닙니다. 바로 이 임플란트가 접속할 공격자 운영 서버가 없다는 점입니다. 명령 및 제어 도메인 대신 대규모 언어 모델 제공업체의 API 엔드포인트를 사용합니다. 이는 수천 개의 정상 애플리케이션이 매일 접속하는 인프라이며, 따라서 발견 즉시 차단할 수 없는 인프라입니다.

각 주기마다 루틴은 호스트에 대한 기본 정보를 수집합니다. 호스트 이름, Windows 버전과 아키텍처, 프로세서 수, 그리고 임플란트가 관리자 권한으로 실행 중인지 여부입니다. 해당 텍스트는 프롬프트에 삽입되어 제공자들에게 한 번에 하나씩 전송됩니다. 모델에게 산문을 요구하지는 않습니다. Talos는 바이너리에서 시스템 프롬프트를 추출해 다음과 같이 인용했습니다. "당신은 고급 악성코드 전략가입니다. 오직 실행 가능한 결정만 제공하십시오." 각 응답은 decision 필드가 네 가지 행동 중 하나를 지정하는 타입화된 구조로 역직렬화되어야 하며, 그렇지 않으면 폐기됩니다.

네 가지 동작은 사람이 작성해 바이너리에 컴파일한 기능 모듈로 라우팅됩니다. steal은 세 가지 수집 루틴을 함께 실행합니다: Windows 자격 증명 메모리 덤프, 저장된 브라우저 비밀번호, 암호화폐 지갑 파일. inject는 다른 프로세스 내부에서 코드를 실행합니다. persist는 임플란트가 스스로 다시 시작하도록 설정합니다. move, 측면 이동 옵션은 Talos가 조사한 빌드에는 핸들러가 전혀 없습니다 — 모델이 이를 선택해도 아무 일도 일어나지 않습니다.

채택된 결정은 실행되기 전에 Discord 웹훅에 게시되므로, 운영자는 패널의 선택과 그에 대해 제시된 추론이 채팅 채널에 실시간으로 도착하는 것을 지켜본다. 탈취된 자료는 현재 날짜에서 파생된 키로 암호화되어 같은 채널로 전송된다. Talos는 그 선택을 날카롭게 해석한다. 개발자는 항상 날짜를 알고 있기 때문에, 그것은 "난독화일 뿐, 개발자와 운영자 사이의 진정한 기밀성 분리가 아니다".

무엇이 확립되었고, 무엇이 그렇지 않은가

Talos는 그 경계를 유난히 명확히 드러내며, 두 부분을 함께 놓고 볼 가치가 있습니다. 정적 분석이 확립하는 것은 의사결정 루프 자체입니다. 즉 공급자 목록, 쿼리 순서, 투표 집계, 타입이 지정된 응답, 그리고 승리한 단어에서 기능으로 이어지는 라우팅입니다. 바이너리는 스트립되지 않았으므로 이 작업을 수행하는 함수 이름을 파일에서 읽을 수 있습니다. 개발 빌드에서는 공급자 자격 증명이 컴파일 시점에 기록되는 것이 보입니다.

확립되지 않은 점은 그중 어느 것도 실제 머신을 대상으로 전체 주기를 실행한 적이 있다는 사실이다. Talos는 공개 배포 빌드가 "불활성 템플릿"이라고 말한다. 모든 모델 API 키는 자리표시자 문자열로 초기화되고, 웹훅은 더미 주소로 초기화되며, 바이너리는 "배포된 상태로는 작동하지 않는다". Talos는 "아키텍처의 완전한 엔드투엔드 실행을 관찰하지 못했다"고 말한다. 또한 게시물의 첫 문단에서 실제 환경에서의 배포를 확인한 바 없다고 말한다.

Talos가 코드와 함께 발견한 것은 일종의 귀속 정보였습니다. 바이너리에서 나온 아티팩트는 해당 개발자를 2025년까지 거슬러 올라가는 카딩, 즉 도난당한 결제 카드 데이터 거래에 관한 범죄 포럼 게시물과 연결했습니다. 그 게시물은 개발자의 이름을 밝히지 않으며, 해당 개발자가 이 도구로 공격을 실행했음을 입증하지도 않습니다. 대신 Talos는 이것이 제품이라고 평가합니다. 개발자가 고객별 API 키와 웹훅이 내장된 맞춤형 실행 파일을 컴파일하고, 고객이 전달을 담당한다는 것입니다. Talos는 유력한 모델을 "credentials-as-a-service"라고 부르며, 여기서 판매 포인트는 오케스트레이션 계층입니다.

이 안에는 피해자도, 캠페인도, 배포도 어디에도 기록되어 있지 않다. 아카이브는 이 항목을 배포 사건이 아니라 연구 결과로 분류하며, 실제 피해는 기록되어 있지 않다 — 이는 무엇이 문서화되었는지에 관한 진술일 뿐, 아무 일도 일어나지 않았다는 주장이 아니다.

쿼럼이라는 단어를 약화시키는 타이브레이크

그 이름은 네 모델이 합의에 이를 때까지 숙고하는 그림을 떠올리게 한다. 구현은 그보다 느슨하다. 승자는 다수결이 아니라 최다 득표로 결정된다. 가장 많은 모델이 지목한 결정이 이기며, 그것이 네 갈래로 나뉜 상황에서 네 표 중 한 표뿐이어도 그렇다. 합의는 요구되지 않는다.

동점은 누구에게도 다시 묻지 않고 해결된다. Talos는 집계 루프를 완전히 결정론적이며 DeepSeek에 편향되어 있다고 설명한다. DeepSeek에 먼저 질의하고, 비교는 최고 득표수에 도달한 첫 번째 결정을 유지하므로 DeepSeek의 표가 모든 동점 상황을 가른다. DeepSeek을 사용할 수 없으면 Qwen이 결정표를 이어받고, 그다음은 Mistral, 그다음은 Gemini다. 어떤 제공자가 응답했는지 아는 방어자는 모델 응답을 하나도 읽지 않고도 표가 갈린 결과를 예측할 수 있다.

두 번째로, 더 눈에 띄지 않는 설계상의 사실이 있다. 모든 모델이 거부하거나 시간 초과되거나 잘못된 형식의 출력을 반환하면, 폴백은 기본 동작이 아니다. Talos는 폴백 결정이 일치하는 핸들러가 없는 문자열이라고 말한다. 따라서 루프는 대기한 뒤 재시도한다. 임플란트는 추측하기보다 아무것도 하지 않도록 만들어졌다.

그 문장에서 "first"라는 단어가 하는 역할은 무엇인가요?

Talos의 주장은 대부분의 보도가 시사한 것보다 범위가 좁으며, 그 좁혀진 범위가 중요하다. 이 회사는 "이 모델을 전술적 지휘통제에 적용한 최초의 공개적으로 문서화된 Windows 임플란트"라고 말한다. 최초의 AI 악성코드라거나 언어 모델을 사용한 최초의 악성코드라고 말하는 것이 아니다. 새롭다고 주장하는 것은 위임의 형태다. 즉, 여러 상용 공급자를 중복된 의사결정 패널로 삼아 감염된 호스트에서 전술을 선택하는 것이다.

그런 프레이밍에 대해서는 논쟁이 있어 왔으며, 그 논쟁은 기술적 발견보다는 제시 방식에 관한 것이다. 분석가 P.K. Sharma가 같은 날 발표한 독립 브리핑은 그 주장을 검증하고, 좁은 의미의 아키텍처적 주장은 공개 기록에 비추어 성립하지만 "이것이 AI 기반 악성코드의 데뷔라는 더 넓은 인상은 그렇지 않다"고 결론 내린다—악성코드가 실행 중에 언어 모델에 질의한 이전의 공개 사례들, 가장 분명하게는 우크라이나 CERT-UA가 2025년 7월에 보고했고 모델을 사용해 실행할 명령을 생성한 LameHug를 지목하면서. 그런 해석에 따르면, 2026년 9월에 달라진 것은 모델이 명령을 작성하는 대신 전술을 선택한다는 점이다.

보도 자체도 같은 취급을 받았다. 9월 23일 매체 On the Wire는 대부분의 업계 보도가 Talos의 발견과 Talos의 유의 사항을 함께 다뤘지만, "널리 읽힌 한 헤드라인은 그렇게 하지 않았다"고 지적했으며, AI 악성코드가 공격 루프에서 인간을 제거했다고 주장하는 한 헤드라인을 그 밑에 있는 연구로는 뒷받침되지 않는다고 특정해 비판했다. 10월 7일 Zenodo에 게시된 탐지 엔지니어링 논문은 같은 한계를 한 문장으로 표현했다. "모든 주장은 설계에 관한 주장이지, 침해에 관한 주장이 아니다."

이 비평가들 중 누구도 바이너리 안에 무엇이 들어 있는지에 대해 이의를 제기하지 않는다. 기록 보관소 역시 해당 항목을 분쟁 중인 것으로 기록하지 않는다. 논쟁은 한 번도 실행되는 모습이 목격된 적 없는 컴파일된 기능이 얼마나 많은 것을 암시하도록 허용해야 하는지에 관한 것이다.

그것을 발견한 회사는 해결책도 판매한다

공개 자료에서 한 가지 세부 사항은 분명히 짚고 넘어갈 만하다. CLOSEDQUORUM은 Talos가 같은 날 공개한, AI 통합 악성코드를 추적하기 위한 Talos 자체 오픈소스 툴킷인 CAIRN을 통해 드러났다. Talos는 이 유형의 위협에 대응하는 네트워크 및 엔드포인트 제품을 판매하는 Cisco의 사업부다. 해당 패밀리에 대해 발행된 Snort 규칙 1:66984는 Cisco 제품이며, 공개 규칙 문서는 알려진 사용 방식을 "Attacks/Scans seen in the wild"라고 표기한다. 이는 실제 환경에서의 배포가 확인된 바 없다는 연구 게시물 자체의 진술보다 더 단호한 표현이다. 규칙 문서는 규칙이 무엇에 경고하는지를 설명할 뿐 피해자가 있었다는 증거를 뜻하지는 않으며, 두 진술은 형식적으로 모순되지 않는다. 다만 비중이 다르게 부여되어 있을 뿐이다. 벤더의 발견을 평가하는 독자는 검증할 수 없는 프레이밍보다 검증 가능한 기술적 세부 사항에 더 의존해야 한다.

방어자들이 무엇을 찾아야 하는지 지시받는 내용

인프라가 합법적이기 때문에 도메인 차단은 사용할 수 없습니다. Talos의 지침은 행위 상관관계 분석입니다. 단일 신호만으로는 임플란트를 식별할 수 없지만, 여러 신호를 조합하면 식별할 수 있습니다. Talos가 제시하는 목록은 다음과 같습니다:

• 이를 사용할 이유가 없는 Windows 실행 파일에서 발생하는 AI 모델 제공업체로의 API 트래픽

• 동일한 프로세스에서 짧은 간격으로 여러 공급자에게 유사한 요청이 전송됨

• 호스트 세부 정보나 공격 역량 관련 표현을 포함하며, TLS 검사 또는 공급자 측에서만 볼 수 있는 프롬프트

• 동일 호스트에서의 프로세스 인젝션, 자격 증명 메모리 접근 또는 새로운 지속성 확보

• 해당 프로세스 또는 호스트에서 발생하는 Discord 웹훅 트래픽

• 5분에서 15분 사이의 무작위 간격으로 실행이 반복됨

다중 제공자 신호의 근거는 이 발견에서 가장 범용적으로 적용할 수 있는 부분이다. 정상 소프트웨어는 하나의 제공자에 전념하거나, 첫 번째 제공자에 오류가 발생하면 두 번째 제공자로 페일오버한다. 네 곳으로 팬아웃해 답변을 비교하는 소프트웨어는 다른 일을 하고 있는 것이다. Talos는 게시물과 함께 YARA 규칙과 Snort 규칙, 그리고 약 일주일간의 개발 빌드를 포괄하는 6개의 SHA-256 해시를 공개했다. Hacker News는 9월 23일 CAIRN과 함께 제공되는 규칙 파일 자체에는 CLOSEDQUORUM 규칙이 포함되어 있지 않아 CAIRN 사용자가 Talos의 규칙을 수동으로 추가해야 했다고 보도했다; 해당 규칙은 블로그 게시물에 공개되어 있다.

공개가 바꾸는 것

현재에 대해서는 거의 다루지 않고, 가까운 미래에 대해서는 어느 정도 다룬다. Talos는 자체 평가에서 단도직입적으로 말한다. CLOSEDQUORUM은 "정교한 멀웨어라기보다는 공격 체인 자동화를 향한 아키텍처 전환이 다가오고 있음을 보여주는 실증으로 이해하는 것이 가장 좋다"고. 그것이 작동시킬 수 있는 기능들은 평범한 침해 후 도구들이다. 새로운 점은 다음에 어떤 기능을 사용할지 선택하는 일이 운영자에게서 떠나 상용 모델들로 구성된 투표 패널로 옮겨졌으며, 누군가 깨어 있든 아니든 실행된다는 것이다.

Talos는 이를 '노력 전가(effort displacement)'라고 부르는데, 이는 공격의 한 단계가 얼마나 빠르게 실행되는지가 아니라 어디에 존재하는지에 대한 주장이다. 즉 운영자가 더 빨라지는 것이 아니라 의사결정에서 제거되는 것이다. Talos는 같은 설계가 방어자에게 활용할 수 있는 일련의 약점을 안겨준다고 지적한다. 제공자는 요청을 거부하고, 속도 제한을 걸고, 잘못된 형식의 출력을 반환하며, 행동 공간은 네 단어 폭에 불과하고, 동점 처리는 예측 가능하다. 여기서의 자율성은 인간의 한계를 모델과 인프라의 한계와 맞바꾼다.

기록 어디에도 이것이 사용되었다고 나와 있지 않다. 기록이 말하는 것은 아키텍처가 컴파일된다는 것, 누군가 판매하기 위해 그것을 만들었다는 것, 그리고 구별되는 특징이 외부에서도 충분히 식별 가능해 방어자가 프로세스당 제공자를 셀 수 있다는 것이다. 이는 헤드라인보다 작은 주장이지만, 더 유용한 주장이다.