Cisco Talos ontdekt een Windows-implant dat vier LLM's laat stemmen over zijn volgende zet

Op 22 september 2026 publiceerde Cisco Talos onderzoek naar CLOSEDQUORUM, een Windows-implant dat niet wacht op instructies van een aanvaller. Zodra het draait, beschrijft het de machine waarop het is beland, vraagt het maximaal vier commerciële AI-modellen wat het vervolgens moet doen — DeepSeek, Qwen, Mistral en Google Gemini — telt het hun antwoorden als stemmen en voert het uit welke van vier acties wint. Talos noemt het "naar ons weten het eerste openbaar gedocumenteerde Windows-implant dat dit model toepast op tactische command and control". In hetzelfde bericht staat dat Talos geen bevestiging heeft dat dit ooit is ingezet, en dat de openbaar circulerende kopie niet werkt: de API-sleutels en de exfiltratie-webhook zijn placeholders. Er is geen schade aan een gebruiker geregistreerd. Het volledige verslag, met de bijbehorende bronnen en de ernstclassificatie, staat in het AI-incidentenarchief naast de andere gedocumenteerde bevindingen over AI-wapens.

Wat Talos zegt dat het implantaat doet

Het sample dat Talos beschrijft is een 16,4MB groot, 64-bits Windows-uitvoerbaar bestand geschreven in Go, met wat C erdoor gemengd zodat het rechtstreeks Windows-systeemfuncties kan aanroepen. De nieuwigheid zit niet in de payload. Die zit erin dat het implant geen door de aanvaller beheerde server heeft om naar huis te bellen. In plaats van een command-and-control-domein gebruikt het de API-eindpunten van aanbieders van grote taalmodellen — infrastructuur die duizenden legitieme applicaties dagelijks contacteren, en die daarom niet meteen kan worden geblokkeerd.

Elke cyclus verzamelt een routine basisgegevens over de host: de naam, de Windows-versie en -architectuur, het aantal processors en of het implant met beheerdersrechten draait. Die tekst wordt in een prompt geplaatst en één voor één naar de providers gestuurd. Aan de modellen wordt niet om proza gevraagd. Talos heeft de systeemprompt uit de binary geëxtraheerd en citeert die: "Je bent een geavanceerde malwarestrateeg. Geef ALLEEN uitvoerbare beslissingen." Elk antwoord moet deserialiseren naar een getypeerde structuur waarvan het veld decision een van de vier acties aanduidt, anders wordt het verworpen.

De vier acties leiden naar capaciteitsmodules die een mens heeft geschreven en in het binaire bestand heeft gecompileerd. steal voert drie verzamelroutines tegelijk uit: een dump van Windows-inloggegevens uit het geheugen, opgeslagen browserwachtwoorden en cryptovalutawalletbestanden. inject voert code uit in een ander proces. persist zorgt ervoor dat het implant op eigen kracht opnieuw start. move, de optie voor laterale beweging, heeft helemaal geen handler in de build die Talos heeft onderzocht — een model kan ervoor stemmen en er gebeurt niets.

De winnende beslissing wordt vóór uitvoering naar een Discord-webhook gepost, zodat de operator in realtime in een chatkanaal ziet hoe de keuze van het panel en de daarbij gegeven redenering binnenkomen. Gestolen materiaal gaat naar hetzelfde kanaal, versleuteld met een sleutel die van de huidige datum is afgeleid. Talos vat die keuze scherp op: omdat de ontwikkelaar altijd de datum kent, is het "obfuscatie, geen echte vertrouwelijkheidsscheiding tussen ontwikkelaar en operator".

Wat is vastgesteld, en wat niet

Talos is ongewoon expliciet over de scheidslijn, en het is de moeite waard de twee helften bij elkaar te houden. Wat statische analyse vaststelt, is de beslissingslus zelf: de lijst met providers, de queryvolgorde, het tellen van stemmen, het getypeerde antwoord en de routering van een winnend woord naar een capaciteit. De binary was niet gestript, dus de functienamen die dit werk doen, zijn leesbaar in het bestand. Ontwikkelbuilds laten zien dat providerreferenties tijdens het compileren worden ingevoegd.

Wat niet is vastgesteld, is dat iets ervan ooit een volledige cyclus tegen een echte machine heeft gedraaid. Talos stelt dat de publieke distributiebuild "een inert sjabloon" is: elke API-sleutel voor modellen wordt geïnitialiseerd met een placeholdertekst, de webhook wordt geïnitialiseerd met een dummyadres, en de binary is "niet functioneel zoals gedistribueerd". Talos zegt dat het "geen volledige end-to-end uitvoering van de architectuur heeft waargenomen". Het zegt ook, in de openingsparagraaf van de post, dat het geen bevestiging heeft van in-the-wild-implementatie.

Wat Talos wel aantrof naast de code, was een vorm van attributie. Artefacten uit het binaire bestand verbonden de ontwikkelaar ervan met berichten op criminele forums over carding, de handel in gestolen betaalkaartgegevens, die teruggaan tot 2025. Het bericht noemt de ontwikkelaar niet en stelt niet vast dat de ontwikkelaar aanvallen met het hulpmiddel heeft uitgevoerd. Talos beoordeelt in plaats daarvan dat het ding een product is: een ontwikkelaar compileert voor elke klant een aangepast uitvoerbaar bestand met de API-sleutels en webhook van die klant erin ingebouwd, en de klant regelt de levering. Talos noemt het waarschijnlijke model "credentials-as-a-service", waarbij het verkoopargument de orchestratielaag is.

In dit alles is nergens een slachtoffer, een campagne of een inzet geregistreerd. Het archief classificeert de vermelding als een onderzoeksbevinding in plaats van een inzetgebeurtenis, zonder dat er werkelijke schade is geregistreerd — wat iets zegt over wat is gedocumenteerd, niet een bewering dat er niets is gebeurd.

De tiebreak die het woord quorum ondermijnt

De naam roept het beeld op van vier modellen die overleggen tot ze het eens zijn. De implementatie is losser dan dat. De winnaar wordt bepaald door pluraliteit, niet door meerderheid: de beslissing die door de meeste modellen wordt genoemd, wint, zelfs als dat één stem van de vier is bij een verdeling over vier opties. Overeenstemming is niet vereist.

Gelijkspel wordt beslecht zonder nog iemand opnieuw te vragen. Talos beschrijft de telprocedure als volledig deterministisch en bevoordeelt DeepSeek: DeepSeek wordt als eerste bevraagd, de vergelijking behoudt de eerste beslissing die de hoogste telling bereikt, dus de stem van DeepSeek beslecht elk gelijkspel. Als DeepSeek niet beschikbaar is, erft Qwen de beslissende stem, dan Mistral, dan Gemini. Een verdediger die weet welke aanbieders hebben geantwoord, kan de uitkomst van een splitsing voorspellen zonder ook maar één modelantwoord te lezen.

Er is een tweede, stiller ontwerpfeit. Als elk model weigert, een time-out krijgt of misvormde uitvoer retourneert, is de fallback geen standaardactie. Talos zegt dat de fallbackbeslissing een string is zonder overeenkomende handler, dus slaapt de lus en probeert het opnieuw. Het implantaat is gebouwd om niets te doen in plaats van te gissen.

Wat het woord 'first' in die zin doet

De bewering van Talos is smaller dan het grootste deel van de berichtgeving deed vermoeden, en die beperking is van belang. Het bedrijf zegt "eerste publiekelijk gedocumenteerde Windows-implant dat dit model toepast op tactische command and control" — niet het eerste AI-malware, en niet de eerste malware die een taalmodel gebruikt. Wat als nieuw wordt geclaimd, is de vorm van de delegatie: verscheidene commerciële aanbieders die als een redundante beslissingscommissie worden bevraagd en een tactiek kiezen op de geïnfecteerde host.

Over die framing is gediscussieerd, en het debat gaat over presentatie in plaats van over de technische bevindingen. Een onafhankelijke briefing die dezelfde dag door analist P.K. Sharma werd gepubliceerd, toetst de bewering en concludeert dat de smalle architecturale bewering standhoudt tegen de openbare gegevens, terwijl “de bredere indruk dat dit het debuut is van AI-gedreven malware” dat niet doet — met verwijzing naar eerdere openbare gevallen waarin malware tijdens de uitvoering een taalmodel raadpleegde, het duidelijkst LameHug, dat in juli 2025 door Oekraïnes CERT-UA werd gemeld en dat een model gebruikte om de commando’s te genereren die het vervolgens uitvoerde. In die lezing is wat in september 2026 veranderde, dat de modellen de tactiek kiezen in plaats van het commando te schrijven.

De berichtgeving zelf kreeg dezelfde behandeling. Op 23 september merkte het medium On the Wire op dat de meeste vakpersberichtgeving Talos' bevinding en Talos' voorbehoud bij elkaar had gehouden, maar dat "één veelgelezen kop dat niet deed", en wees het één kop aan die stelde dat AI-malware de mens uit de aanvalslus had gehaald, als niet gestaafd door het onderliggende onderzoek. Een paper over detectie-engineering die op 7 oktober op Zenodo werd geplaatst, verwoordde dezelfde beperking in één zin: "Elke bewering is een bewering over een ontwerp, niet over een compromittering."

Geen van deze critici betwist wat er in het binaire bestand zit. Het archief registreert de vermelding evenmin als betwist. Het meningsverschil gaat erover hoeveel een gecompileerde capaciteit, die nooit in werking is gezien, mag impliceren.

Het bedrijf dat het ontdekte, verkoopt ook de oplossing.

Eén detail in de openbaarmaking verdient een ronduit duidelijke vermelding. CLOSEDQUORUM kwam aan het licht via CAIRN, Talos' eigen open-sourcetoolkit voor het opsporen van AI-geïntegreerde malware, die Talos dezelfde dag uitbracht. Talos is een divisie van Cisco, dat de netwerk- en endpointproducten verkoopt die deze categorie dreigingen aanpakken. De Snort-regel die voor de familie is uitgegeven, 1:66984, is een Cisco-product, en de openbare documentatie bij die regel bestempelt het bekende gebruik als "Attacks/Scans seen in the wild" — stelliger geformuleerd dan de eigen verklaring in het onderzoeksbericht dat er geen bevestiging is van in-the-wild-implementatie. De regeldocumentatie beschrijft waarop de regel alarm slaat, niet het bewijs van een slachtoffer, en de twee uitspraken zijn formeel niet tegenstrijdig; ze hebben een verschillend gewicht. Een lezer die de bevinding van een leverancier weegt, kan zich beter baseren op het technische detail, dat controleerbaar is, dan op de framing, die dat niet is.

Waar verdedigers volgens de instructies op moeten letten

Omdat de infrastructuur legitiem is, is domeinblokkering niet beschikbaar. Talos' advies is gedragscorrelatie: geen enkel signaal identificeert de implant, maar een combinatie wel. De lijst die Talos geeft is:

• API-verkeer naar AI-modelproviders dat afkomstig is van een Windows-executable die geen enkele reden heeft om er een te gebruiken

• Vergelijkbare verzoeken die binnen een kort tijdsinterval vanuit hetzelfde proces naar meerdere providers worden verzonden

• Prompts met hostdetails of taal over offensieve capaciteiten, alleen zichtbaar via TLS-inspectie of aan de kant van de provider

• Procesinjectie, toegang tot inloggegevens in het geheugen of nieuwe persistentie op dezelfde host

• Discord-webhookverkeer van dat proces of die host

• Uitvoering die zich herhaalt met gerandomiseerde intervallen van vijf tot vijftien minuten

De redenering achter het multi-provider-signaal is het meest overdraagbare deel van de bevinding. Legitieme software kiest voor één provider, of schakelt over naar een tweede wanneer de eerste fouten geeft. Software die naar vier providers uitwaaiert en de antwoorden vergelijkt, doet iets anders. Talos publiceerde een YARA-regel en de Snort-regel samen met het bericht, plus zes SHA-256-hashes voor builds uit ongeveer een week ontwikkeling. The Hacker News meldde op 23 september dat het regelbestand dat met CAIRN werd meegeleverd zelf geen CLOSEDQUORUM-regel bevatte, waardoor CAIRN-gebruikers Talos' regel handmatig moesten toevoegen; de regel is gepubliceerd in het blogbericht.

Wat de openbaarmaking verandert

Heel weinig over het heden, en iets over de nabije toekomst. Talos is onverbloemd in zijn eigen beoordeling: CLOSEDQUORUM kun je "het beste niet zien als een geavanceerd stuk malware, maar als een demonstratie dat de architecturele verschuiving naar automatisering van aanvalsketens eraan komt". De mogelijkheden die het kan activeren, zijn gewone hulpmiddelen die na een compromittering worden ingezet. Wat nieuw is, is dat de keuze van welke mogelijkheid als volgende wordt gebruikt, is weggehaald bij de operator en is ondergebracht bij een stempanel van commerciële modellen, dat draait ongeacht of er iemand wakker is.

Talos' term daarvoor is inspanningsverplaatsing, en het is een bewering over waar een fase van een aanval zich bevindt, niet over hoe snel die verloopt — de operator wordt niet sneller gemaakt, maar uit een beslissing gehaald. Hetzelfde ontwerp geeft verdedigers, aldus Talos, een reeks zwakheden om mee te werken: providers weigeren, beperken het aantal verzoeken en retourneren misvormde output, de actieruimte is vier woorden breed, en de tiebreak is voorspelbaar. Autonomie ruilt hier menselijke beperkingen in voor beperkingen van modellen en infrastructuur.

Niets in het dossier zegt dat dit is gebruikt. Wat er staat, is dat de architectuur compileert, dat iemand hem heeft gebouwd om te verkopen, en dat het onderscheidende kenmerk van buitenaf leesbaar genoeg is dat een verdediger het aantal providers per proces kan tellen. Dat is een kleinere claim dan de koppen, en een nuttigere.