Cisco Talos wykrył windowsowy implant, który pozwala czterem LLM-om głosować nad jego kolejnym posunięciem

22 września 2026 r. Cisco Talos opublikował badanie dotyczące CLOSEDQUORUM, implantu Windows, który nie czeka na instrukcje atakującego. Po uruchomieniu opisuje maszynę, na której wylądował, pyta do czterech komercyjnych modeli AI, co robić dalej — DeepSeek, Qwen, Mistral i Google Gemini — liczy ich odpowiedzi jako głosy i wykonuje tę spośród czterech akcji, która wygra. Talos nazywa go „według naszej wiedzy pierwszym publicznie udokumentowanym implantem Windows, który stosuje ten model do taktycznego dowodzenia i kontroli”. Ten sam wpis podaje, że Talos nie ma potwierdzenia, że implant kiedykolwiek został wdrożony, a krążąca publicznie kopia nie działa: jej klucze API i webhook eksfiltracji są placeholderami. Nie odnotowano szkód u żadnego użytkownika. Pełny zapis, wraz ze źródłami i oceną wagi, znajduje się w archiwum incydentów AI obok innych udokumentowanych ustaleń dotyczących broni AI.

Co Talos mówi, że robi implant

Próbka opisana przez Talos to 16,4-megabajtowy, 64-bitowy plik wykonywalny systemu Windows napisany w Go, z domieszką C, dzięki czemu może bezpośrednio wywoływać funkcje systemowe Windows. Jej nowość nie tkwi w ładunku. Polega ona na tym, że implant nie ma serwera obsługiwanego przez atakującego, z którym mógłby się kontaktować. Zamiast domeny command-and-control wykorzystuje punkty końcowe API dostawców dużych modeli językowych — infrastrukturę, z którą tysiące legalnych aplikacji kontaktuje się codziennie i której z tego powodu nie można zablokować na pierwszy rzut oka.

W każdym cyklu procedura zbiera podstawowe informacje o hoście: jego nazwę, wersję i architekturę Windows, liczbę procesorów oraz to, czy implant działa z uprawnieniami administratora. Ten tekst jest umieszczany w prompcie i wysyłany do dostawców pojedynczo. Modele nie są proszone o prozę. Talos wyodrębnił prompt systemowy z pliku binarnego i cytuje go: „Jesteś zaawansowanym strategiem malware. Podawaj TYLKO wykonalne decyzje”. Każda odpowiedź musi zostać zdeserializowana do struktury typowanej, której pole decyzji wskazuje jedną z czterech akcji; w przeciwnym razie jest odrzucana.

Cztery akcje prowadzą do modułów funkcjonalnych, które człowiek napisał i skompilował do pliku binarnego. steal uruchamia jednocześnie trzy procedury zbierania danych: zrzut pamięci z poświadczeniami Windows, zapisane hasła przeglądarek oraz pliki portfeli kryptowalutowych. inject uruchamia kod wewnątrz innego procesu. persist sprawia, że implant uruchamia się ponownie samoczynnie. move, opcja ruchu bocznego, nie ma w ogóle żadnego handlera w kompilacji, którą zbadał Talos — model może na nią zagłosować i nic się nie stanie.

Zwycięska decyzja jest publikowana w webhooku Discorda przed jej wykonaniem, więc operator obserwuje, jak wybór panelu i podane uzasadnienie trafiają do kanału czatu w czasie rzeczywistym. Skradziony materiał trafia do tego samego kanału, zaszyfrowany kluczem wyprowadzonym z bieżącej daty. Talos odczytuje ten wybór ostro: ponieważ deweloper zawsze zna datę, jest to „zaciemnianie, a nie prawdziwe rozdzielenie poufności między deweloperem a operatorem”.

Co jest ustalone, a co nie

Talos jest nietypowo jednoznaczny co do tej granicy i warto zachować obie połowy razem. To, co ustala analiza statyczna, to sam pętla decyzyjna: lista dostawców, kolejność zapytań, liczenie głosów, odpowiedź z typem oraz kierowanie od zwycięskiego słowa do zdolności. Plik binarny nie został pozbawiony symboli, więc nazwy funkcji wykonujących tę pracę są czytelne w pliku. Kompilacje deweloperskie pokazują, że dane uwierzytelniające dostawców są wpisywane na etapie kompilacji.

Nie ustalono, że którykolwiek z tych elementów kiedykolwiek przeszedł pełny cykl na rzeczywistej maszynie. Talos stwierdza, że publiczna kompilacja dystrybucyjna jest „nieaktywnym szablonem”: każdy klucz API modelu inicjalizuje się do ciągu zastępczego, webhook inicjalizuje się do fikcyjnego adresu, a plik binarny jest „niefunkcjonalny w postaci dystrybuowanej”. Talos mówi, że „nie zaobserwował pełnego wykonania architektury od początku do końca”. W pierwszym akapicie wpisu stwierdza również, że nie ma potwierdzenia wdrożenia w rzeczywistym środowisku.

To, co Talos faktycznie znalazł obok kodu, było swego rodzaju atrybucją. Artefakty z pliku binarnego powiązały jego dewelopera z wpisami na forach przestępczych dotyczącymi cardingu, czyli handlu skradzionymi danymi kart płatniczych, sięgającymi 2025 r. Wpis nie podaje nazwy dewelopera ani nie dowodzi, że deweloper przeprowadzał ataki przy użyciu tego narzędzia. Talos ocenia raczej, że to produkt: deweloper kompiluje dostosowany plik wykonywalny dla każdego klienta z wbudowanymi kluczami API i webhookiem tego klienta, a klient zajmuje się dostarczaniem. Talos nazywa prawdopodobny model „credentials-as-a-service”, w którym głównym punktem sprzedaży jest warstwa orkiestracji.

Nigdzie w tym materiale nie odnotowano żadnej ofiary, żadnej kampanii ani żadnego wdrożenia. Archiwum klasyfikuje ten wpis jako wynik badania, a nie zdarzenie wdrożeniowe, przy czym nie odnotowano żadnych rzeczywistych szkód — co jest stwierdzeniem o tym, co zostało udokumentowane, a nie twierdzeniem, że nic się nie wydarzyło.

Rozstrzygnięcie remisu, które podważa słowo „kworum”

Nazwa przywodzi na myśl obraz czterech modeli debatujących, aż osiągną zgodę. Implementacja jest luźniejsza. Zwycięzcę wyłania większość względna, a nie większość bezwzględna: wygrywa decyzja wskazana przez największą liczbę modeli, nawet jeśli przy czterodzielnym podziale to zaledwie jeden głos na cztery. Zgoda nie jest wymagana.

Remisy rozstrzyga się bez ponownego pytania kogokolwiek. Talos opisuje pętlę zliczania jako w pełni deterministyczną i faworyzującą DeepSeek: najpierw odpytywany jest DeepSeek, a porównanie zachowuje pierwszą decyzję, która osiągnie najwyższą liczbę głosów, więc głos DeepSeek rozstrzyga każdy remis. Jeśli DeepSeek jest niedostępny, decydujący głos przejmuje Qwen, potem Mistral, a następnie Gemini. Obrońca, który wie, którzy dostawcy odpowiedzieli, może przewidzieć wynik podziału bez czytania choćby jednej odpowiedzi modelu.

Istnieje drugi, cichszy fakt projektowy. Jeśli każdy model odmówi, przekroczy limit czasu lub zwróci nieprawidłowe dane wyjściowe, mechanizm awaryjny nie jest domyślną akcją. Talos mówi, że decyzja o fallbacku to ciąg znaków bez pasującego handlera, więc pętla zasypia i ponawia próbę. Implant jest zbudowany tak, aby nic nie robić, zamiast zgadywać.

Co robi słowo „first” w tym zdaniu

Roszczenie Talosa jest węższe, niż sugerowała większość doniesień, a to zawężenie ma znaczenie. Firma twierdzi, że jest to „pierwszy publicznie udokumentowany implant Windows wykorzystujący ten model do taktycznego dowodzenia i kontroli” — nie pierwszy złośliwy program oparty na AI i nie pierwszy złośliwy program wykorzystujący model językowy. Za nowe uznaje się kształt delegacji: kilku komercyjnych dostawców odpytywanych jako redundantny panel decyzyjny, wybierający taktykę na zainfekowanym hoście.

O to ujęcie toczono spór, a spór dotyczy prezentacji, a nie ustaleń technicznych. Niezależny briefing opublikowany tego samego dnia przez analityka P.K. Sharmę poddaje tę tezę próbie i dochodzi do wniosku, że wąska teza architektoniczna znajduje potwierdzenie w publicznym zapisie, natomiast „szersze wrażenie, że jest to debiut złośliwego oprogramowania napędzanego przez AI, nie” — wskazując na wcześniejsze publiczne przypadki, w których złośliwe oprogramowanie odpytywało model językowy w czasie działania, najwyraźniej LameHug, który CERT-UA Ukrainy zgłosił w lipcu 2025 r. i który wykorzystał model do wygenerowania poleceń, które następnie wykonał. W tym odczytaniu tym, co zmieniło się we wrześniu 2026 r., jest to, że modele wybierają taktykę zamiast pisać polecenie.

Samo relacjonowanie spotkało się z takim samym potraktowaniem. 23 września serwis On the Wire zauważył, że większość publikacji branżowych łączyła ustalenie Talosa z zastrzeżeniem Talosa, ale „jeden szeroko czytany nagłówek tego nie zrobił”, i wskazał nagłówek twierdzący, że złośliwe oprogramowanie AI usunęło człowieka z pętli ataku, jako niepoparty badaniami, na których się opierał. Praca z inżynierii detekcji zamieszczona w Zenodo 7 października ujęła to samo ograniczenie w zdaniu: „Każde twierdzenie jest twierdzeniem o projekcie, a nie o naruszeniu”.

Żaden z tych krytyków nie kwestionuje tego, co znajduje się w pliku binarnym. Archiwum również nie odnotowuje tego wpisu jako spornego. Spór dotyczy tego, jak wiele powinna móc sugerować skompilowana funkcjonalność, której nigdy nie widziano w działaniu.

Firma, która to odkryła, sprzedaje również poprawkę.

Jeden szczegół w ujawnieniu warto przedstawić wprost. CLOSEDQUORUM ujawniono za pośrednictwem CAIRN — własnego otwartoźródłowego zestawu narzędzi Talos do polowania na złośliwe oprogramowanie zintegrowane z AI — który Talos udostępnił tego samego dnia. Talos jest częścią Cisco, która sprzedaje produkty sieciowe i endpointowe służące do przeciwdziałania tej klasie zagrożeń. Reguła Snort wydana dla tej rodziny, 1:66984, jest produktem Cisco, a jej publiczna dokumentacja reguły określa znane użycie jako „Ataki/skanowania zaobserwowane w środowisku rzeczywistym” — mocniejsze sformułowanie niż własne stwierdzenie w poście badawczym, że nie ma potwierdzenia wdrożenia w środowisku rzeczywistym. Dokumentacja reguły opisuje, na co reguła alarmuje, a nie dowód ofiary, i oba stwierdzenia nie są formalnie sprzeczne; mają odmienny ciężar. Czytelnik oceniający ustalenie dostawcy powinien opierać się na szczegółach technicznych, które można sprawdzić, a nie na sposobie przedstawienia, którego sprawdzić nie można.

Na co obrońcy mają zwracać uwagę

Ponieważ infrastruktura jest prawowita, blokowanie domen nie jest dostępne. Wskazówki Talos dotyczą korelacji behawioralnej: żaden pojedynczy sygnał nie identyfikuje implantu, ale ich kombinacja tak. Lista, którą podaje Talos, to:

• Ruch API do dostawców modeli AI pochodzący z pliku wykonywalnego Windows, który nie ma żadnego powodu, by z niego korzystać

• Podobne żądania wysłane do kilku dostawców w krótkim odstępie czasu z tego samego procesu

• Prompty zawierające szczegóły hosta lub język dotyczący zdolności ofensywnych, widoczne wyłącznie poprzez inspekcję TLS lub po stronie dostawcy

• Wstrzykiwanie do procesów, dostęp do pamięci poświadczeń lub nowe utrwalenie na tym samym hoście

• Ruch webhooków Discord z tego procesu lub hosta

• Wykonywanie powtarzane w losowych odstępach od pięciu do piętnastu minut

Rozumowanie stojące za sygnałem wielu dostawców jest najbardziej przenośną częścią tego ustalenia. Legalne oprogramowanie wiąże się z jednym dostawcą albo przełącza się na drugiego, gdy pierwszy zwróci błąd. Oprogramowanie, które rozsyła zapytania do czterech dostawców i porównuje odpowiedzi, robi coś innego. Talos opublikował wraz z postem regułę YARA i regułę Snort oraz sześć skrótów SHA-256 obejmujących kompilacje z około tygodnia prac rozwojowych. The Hacker News poinformował 23 września, że plik reguł dostarczany z CAIRN sam w sobie nie zawierał reguły CLOSEDQUORUM, więc użytkownicy CAIRN musieli ręcznie dodać regułę Talosa; reguła została opublikowana we wpisie na blogu.

Co zmienia ujawnienie

Niewiele o teraźniejszości, coś o bliskiej przyszłości. Talos jest bezpośredni w swojej ocenie: CLOSEDQUORUM „najlepiej rozumieć nie jako wyrafinowany kawałek złośliwego oprogramowania, lecz jako dowód, że nadchodzi zmiana architektoniczna w kierunku automatyzacji łańcucha ataku”. Możliwości, które może uruchomić, to zwykłe narzędzia stosowane po kompromitacji. Nowością jest to, że wybór, którą zdolność wykorzystać jako następną, został przeniesiony z operatora na panel głosujący złożony z komercyjnych modeli, działający niezależnie od tego, czy ktokolwiek czuwa.

Słowo Talosa na to to przesunięcie wysiłku i jest to twierdzenie o tym, gdzie ulokowana jest faza ataku, a nie jak szybko przebiega — operator nie staje się szybszy, lecz zostaje odsunięty od decyzji. Ten sam projekt, zauważa Talos, daje obrońcom zestaw słabości, z którymi mogą pracować: dostawcy odmawiają, ograniczają szybkość i zwracają zniekształcone dane wyjściowe, przestrzeń działań ma szerokość czterech słów, a rozstrzygnięcie remisu jest przewidywalne. Autonomia w tym przypadku wymienia ludzkie ograniczenia na ograniczenia modelu i infrastruktury.

Nic w materiale nie wskazuje na to, że został on wykorzystany. Mówi się w nim jedynie, że architektura się kompiluje, że ktoś zbudował ją na sprzedaż oraz że jej cecha wyróżniająca jest na tyle czytelna z zewnątrz, że obrońca jest w stanie policzyć dostawców w obrębie jednego procesu. To skromniejsza teza niż te z nagłówków — i zarazem bardziej użyteczna.