Cisco Talos descobre um implante para Windows que permite que quatro LLMs votem em seu próximo movimento

Em 22 de setembro de 2026, a Cisco Talos publicou uma pesquisa sobre o CLOSEDQUORUM, um implante para Windows que não espera pelas instruções de um atacante. Quando está em execução, ele descreve a máquina em que se instalou, pergunta a até quatro modelos comerciais de IA o que fazer em seguida — DeepSeek, Qwen, Mistral e Google Gemini —, conta as respostas deles como votos e executa a ação vencedora entre quatro. A Talos o chama de “até onde sabemos, o primeiro implante para Windows documentado publicamente a aplicar esse modelo a comando e controle tático”. A mesma publicação diz que a Talos não tem confirmação de que o implante tenha chegado a ser implantado e que a cópia que circula publicamente não funciona: suas chaves de API e seu webhook de exfiltração são placeholders. Não há registro de danos a qualquer usuário. O registro completo, com suas fontes e classificação de gravidade, está em o arquivo de incidentes de IA ao lado das outras descobertas documentadas de armas de IA.

O que o Talos diz que o implante faz

A amostra descrita pelo Talos é um executável Windows de 64 bits e 16,4 MB escrito em Go, com um pouco de C misturado para que possa chamar funções do sistema Windows diretamente. Sua novidade não está no payload. Está no fato de que o implante não tem um servidor operado pelo atacante para o qual ligar para casa. Em vez de um domínio de comando e controle, ele usa os endpoints da API de provedores de grandes modelos de linguagem — infraestrutura que milhares de aplicações legítimas contatam todos os dias e que, portanto, não pode ser bloqueada de imediato.

A cada ciclo, uma rotina coleta fatos básicos sobre o host: seu nome, sua versão e arquitetura do Windows, seu número de processadores e se o implante está sendo executado com direitos de administrador. Esse texto é inserido em um prompt e enviado aos provedores, um de cada vez. Não se solicita aos modelos que escrevam prosa. A Talos extraiu o prompt de sistema do binário e o cita: “Você é um estrategista avançado de malware. Forneça SOMENTE decisões executáveis.” Cada resposta deve ser desserializada em uma estrutura tipada cujo campo decision nomeie uma de quatro ações, ou será descartada.

As quatro ações são encaminhadas para módulos de capacidade que uma pessoa escreveu e compilou no binário. steal executa três rotinas de coleta em conjunto: um dump da memória de credenciais do Windows, senhas salvas do navegador e arquivos de carteiras de criptomoedas. inject executa código dentro de outro processo. persist faz com que o implante inicie novamente sozinho. move, a opção de movimento lateral, não tem nenhum manipulador na versão compilada que a Talos examinou — um modelo pode votar nela e nada acontece.

A decisão vencedora é publicada em um webhook do Discord antes de ser executada, então o operador observa a escolha do painel e o raciocínio declarado por ele chegarem a um canal de chat em tempo real. O material roubado vai para o mesmo canal, criptografado com uma chave derivada da data atual. Talos interpreta essa escolha de forma crítica: como o desenvolvedor sempre sabe a data, trata-se de "ofuscação, não de uma verdadeira separação de confidencialidade entre desenvolvedor e operador".

O que está estabelecido e o que não está

Talos é incomumente explícito quanto à linha, e vale a pena manter as duas metades juntas. O que a análise estática estabelece é o próprio loop de decisão: a lista de provedores, a ordem das consultas, a contagem de votos, a resposta tipada e o roteamento de uma palavra vencedora para uma capacidade. O binário não foi stripado, então os nomes das funções que fazem esse trabalho são legíveis no arquivo. Builds de desenvolvimento mostram credenciais de provedores sendo gravadas em tempo de compilação.

O que não foi estabelecido é que qualquer parte disso alguma vez tenha executado um ciclo completo contra uma máquina real. A Talos afirma que a compilação de distribuição pública é "um modelo inerte": cada chave de API de modelo é inicializada com uma string de espaço reservado, o webhook é inicializado com um endereço fictício e o binário é "não funcional tal como distribuído". A Talos diz que "não observou uma execução completa de ponta a ponta da arquitetura". Diz também, no parágrafo inicial da publicação, que não tem confirmação de implementação em ambiente real.

O que a Talos encontrou ao lado do código foi uma espécie de atribuição. Artefatos do binário ligaram seu desenvolvedor a postagens em fóruns criminosos sobre carding, o comércio de dados de cartões de pagamento roubados, que remontam a 2025. A postagem não nomeia o desenvolvedor e não estabelece que o desenvolvedor realizou ataques com a ferramenta. A Talos avalia, em vez disso, que a coisa é um produto: um desenvolvedor compila um executável personalizado para cada cliente com as chaves de API e o webhook desse cliente incorporados, e o cliente cuida da entrega. A Talos chama o provável modelo de "credenciais-como-serviço", em que o diferencial de venda é a camada de orquestração.

Não se registra nenhuma vítima, campanha ou implantação em nenhum ponto deste conteúdo. O arquivo classifica a entrada como uma descoberta de pesquisa, e não como um evento de implantação, sem nenhum dano real registrado — o que é uma afirmação sobre o que foi documentado, não uma alegação de que nada aconteceu.

O desempate que enfraquece a palavra quórum

O nome convida a imaginar quatro modelos deliberando até chegarem a um acordo. A implementação é mais frouxa do que isso. O vencedor é decidido por pluralidade, não por maioria: a decisão indicada pelo maior número de modelos vence, mesmo que seja um único voto entre quatro numa divisão quádrupla. Não é necessário acordo.

Os empates são resolvidos sem perguntar novamente a ninguém. Talos descreve o ciclo de contagem como totalmente determinístico e enviesado em favor da DeepSeek: a DeepSeek é consultada primeiro, a comparação mantém a primeira decisão a alcançar a contagem máxima, então o voto da DeepSeek prevalece em todos os empates. Se a DeepSeek estiver indisponível, a Qwen herda o voto decisivo, depois a Mistral, depois a Gemini. Um defensor que sabe quais provedores responderam pode prever o resultado de uma votação dividida sem ler uma única resposta de modelo.

Há um segundo detalhe de conceção mais discreto. Se todos os modelos recusarem, excederem o tempo limite ou devolverem resultados malformados, o fallback não é uma ação predefinida. Talos diz que a decisão de fallback é uma string sem handler correspondente, pelo que o loop adormece e volta a tentar. O implante foi concebido para não fazer nada em vez de adivinhar.

O que a palavra "first" está fazendo nessa frase

A alegação da Talos é mais restrita do que a maioria da cobertura sugeriu, e essa restrição importa. A empresa diz que é o "primeiro implante Windows documentado publicamente a aplicar este modelo a comando e controle táticos" — não o primeiro malware de IA, nem o primeiro malware a usar um modelo de linguagem. O que se alega como novo é o formato da delegação: vários provedores comerciais consultados como um painel de decisão redundante, escolhendo uma tática no host infectado.

Esse enquadramento tem sido contestado, e a discussão gira em torno da apresentação, não das conclusões técnicas. Um briefing independente publicado no mesmo dia pelo analista P.K. Sharma põe a alegação à prova e conclui que a alegação arquitetural restrita se sustenta diante do registro público, enquanto “a impressão mais ampla de que esta é a estreia de malware movido a IA não se sustenta” — apontando para casos públicos anteriores em que o malware consultou um modelo de linguagem em tempo de execução, mais claramente o LameHug, que o CERT-UA da Ucrânia relatou em julho de 2025 e que usou um modelo para gerar os comandos que então executava. Nessa leitura, o que mudou em setembro de 2026 é que os modelos escolhem a tática em vez de escrever o comando.

A própria reportagem recebeu o mesmo tratamento. Em 23 de setembro, o veículo On the Wire observou que a maior parte da cobertura setorial havia mantido juntas a descoberta de Talos e a ressalva de Talos, mas que "uma manchete amplamente lida não o fez", e destacou uma manchete que afirmava que malware de IA havia removido o humano do ciclo de ataque como não sustentada pela pesquisa por trás dela. Um artigo de engenharia de detecção publicado no Zenodo em 7 de outubro expressou o mesmo limite em uma frase: "Toda alegação é uma alegação sobre um projeto, não sobre um comprometimento."

Nenhum desses críticos contesta o que está dentro do binário. Da mesma forma, o arquivo não registra a entrada como contestada. A discordância é sobre o quanto uma capacidade compilada, nunca vista em execução, deveria poder sugerir.

A empresa que o descobriu também vende a correção.

Um detalhe na divulgação merece ser dito com clareza. O CLOSEDQUORUM veio à tona por meio do CAIRN, o kit de ferramentas de código aberto do próprio Talos para caçar malware integrado a IA, que o Talos lançou no mesmo dia. O Talos é uma divisão da Cisco, que vende os produtos de rede e endpoint que tratam dessa classe de ameaça. A regra Snort emitida para a família, 1:66984, é um produto Cisco, e sua documentação pública da regra rotula o uso conhecido como "Ataques/varreduras vistos em ambiente real" — formulação mais categórica do que a própria afirmação do post de pesquisa de que não há confirmação de implantação em ambiente real. A documentação da regra descreve o que a regra alerta, não evidência de uma vítima, e as duas afirmações não são formalmente contraditórias; elas têm pesos diferentes. Um leitor que avalia a constatação de um fornecedor deve se apoiar no detalhe técnico, que pode ser verificado, em vez do enquadramento, que não pode.

O que os defensores são orientados a procurar

Como a infraestrutura é legítima, o bloqueio de domínios não está disponível. A orientação da Talos é a correlação comportamental: nenhum sinal isolado identifica o implante, mas uma combinação sim. A lista que a Talos fornece é:

• Tráfego de API para provedores de modelos de IA originado de um executável do Windows sem motivo para estar usando um

• Solicitações semelhantes enviadas a vários provedores em um curto intervalo a partir do mesmo processo

• Prompts que contenham detalhes do host ou linguagem de capacidade ofensiva, visíveis somente por meio de inspeção TLS ou no lado do provedor

• Injeção de processo, acesso à memória de credenciais ou nova persistência no mesmo host

• Tráfego de webhook do Discord proveniente desse processo ou host

• Execução repetindo-se em intervalos aleatórios de cinco a quinze minutos

O raciocínio por trás do sinal multiprovedor é a parte mais transferível da descoberta. Software legítimo se compromete com um provedor, ou faz failover para um segundo quando o primeiro apresenta erro. Software que se ramifica para quatro e compara as respostas está fazendo outra coisa. A Talos publicou uma regra YARA e a regra Snort junto com o post, e seis hashes SHA-256 cobrindo builds de aproximadamente uma semana de desenvolvimento. O Hacker News relatou em 23 de setembro que o arquivo de regras fornecido com o CAIRN não continha, ele próprio, uma regra CLOSEDQUORUM, então os usuários do CAIRN tiveram que adicionar a regra da Talos manualmente; a regra está publicada no post do blog.

O que a divulgação muda

Muito pouco sobre o presente, e algo sobre o futuro próximo. A Talos é direta em sua própria avaliação: CLOSEDQUORUM é "mais bem compreendido não como uma peça sofisticada de malware, mas como uma demonstração de que a mudança arquitetural em direção à automação da cadeia de ataque está chegando". As capacidades que ele pode acionar são ferramentas comuns de pós-comprometimento. O que é novo é que a escolha de qual capacidade usar em seguida foi transferida do operador para um painel de votação de modelos comerciais, funcionando independentemente de alguém estar acordado ou não.

A expressão de Talos para isso é deslocamento de esforço, e é uma afirmação sobre onde uma fase de um ataque reside, e não sobre a rapidez com que ela é executada — o operador não se torna mais rápido, mas é removido de uma decisão. O mesmo design, observa Talos, oferece aos defensores um conjunto de fraquezas com que trabalhar: provedores recusam, limitam a taxa e retornam saída malformada, o espaço de ação tem quatro palavras de largura, e o desempate é previsível. A autonomia aqui troca limites humanos por limites de modelo e de infraestrutura.

Nada no registro diz que isso foi usado. O que ele diz é que a arquitetura compila, que alguém a construiu para vender e que a característica distintiva é legível o suficiente do lado de fora para que um defensor possa contar provedores por processo. Essa é uma afirmação menor do que as manchetes, e mais útil.