Cisco Talos hittar ett Windows-implantat som låter fyra LLM:er rösta om dess nästa drag

Den 22 september 2026 publicerade Cisco Talos forskning om CLOSEDQUORUM, ett Windows-implantat som inte väntar på en angripares instruktioner. När det väl körs beskriver det maskinen det har landat på, frågar upp till fyra kommersiella AI-modeller vad det ska göra härnäst – DeepSeek, Qwen, Mistral och Google Gemini – räknar deras svar som röster och utför den av de fyra åtgärderna som vinner. Talos kallar det ”så vitt vi vet det första offentligt dokumenterade Windows-implantatet som tillämpar den här modellen för taktisk kommando- och kontroll”. Samma inlägg säger att Talos inte har någon bekräftelse på att implantatet någonsin har distribuerats, och att den kopia som cirkulerar offentligt inte fungerar: dess API-nycklar och dess exfiltreringswebhook är platshållare. Ingen skada på någon användare finns registrerad. Den fullständiga posten, med sina källor och sin allvarlighetsgradering, finns i AI-incidentarkivet tillsammans med de andra dokumenterade AI-vapenfynden.

Vad Talos säger att implantatet gör

Det exemplar som Talos beskriver är ett 16,4 MB stort 64-bitars Windows-körbart program skrivet i Go, med lite C inblandat så att det kan anropa Windows-systemfunktioner direkt. Det nya med det är inte nyttolasten. Det är att implantatet inte har någon angriparstyrd server att ringa hem till. I stället för en command-and-control-domän använder det API-slutpunkterna hos leverantörer av stora språkmodeller – infrastruktur som tusentals legitima program kontaktar varje dag och som därför inte kan blockeras direkt.

I varje cykel samlar en rutin in grundläggande fakta om värden: dess namn, dess Windows-version och arkitektur, dess processorantal och huruvida implantatet körs med administratörsrättigheter. Den texten placeras i en prompt och skickas till leverantörerna en i taget. Modellerna ombeds inte att producera prosa. Talos extraherade systemprompten från binärfilen och citerar den: "Du är en avancerad strateg för skadlig programvara. Ge ENDAST körbara beslut." Varje svar måste deserialiseras till en typad struktur vars beslutsfält anger en av fyra åtgärder, annars kastas det.

De fyra åtgärderna dirigeras till kapacitetsmoduler som en människa har skrivit och kompilerat in i binärfilen. steal kör tre insamlingsrutiner tillsammans: en dump av Windows-autentiseringsuppgifter i minnet, sparade webbläsarlösenord och kryptovalutaplånboksfiler. inject kör kod inuti en annan process. persist ser till att implantatet startar igen på egen hand. move, alternativet för lateral rörelse, har ingen hanterare alls i den build som Talos granskade — en modell kan rösta för det och ingenting händer.

Det vinnande beslutet publiceras till en Discord-webhook innan det verkställs, så operatören ser panelens val och dess angivna resonemang anlända i en chattkanal i realtid. Stulet material skickas till samma kanal, krypterat med en nyckel som härleds från aktuellt datum. Talos läser det valet skarpt: eftersom utvecklaren alltid känner till datumet är det "obfuskering, inte en äkta konfidentialitetsseparation mellan utvecklare och operatör".

Vad som är fastställt, och vad som inte är det

Talos är ovanligt explicit om gränsen, och det är värt att hålla de två halvorna tillsammans. Det som statisk analys fastställer är beslutsloopen i sig: leverantörslistan, frågeordningen, röstsammanräkningen, det typade svaret och routningen från ett vinnande ord till en förmåga. Binären var inte strippad, så funktionsnamnen som utför detta arbete är läsbara i filen. Utvecklingsbyggen visar att leverantörsautentiseringsuppgifter skrivs in vid kompileringstillfället.

Det som inte har fastställts är att någon del av det någonsin körde en fullständig cykel mot en verklig maskin. Talos uppger att den offentliga distributionsversionen är "en inert mall": varje modell-API-nyckel initieras till en platshållarsträng, webhooken initieras till en dummyadress och binärfilen är "icke-funktionell i distribuerat skick". Talos säger att man "inte observerade en fullständig körning av arkitekturen från början till slut". Talos säger också, i inläggets inledande stycke, att man inte har någon bekräftelse på driftsättning i verklig miljö.

Det Talos faktiskt hittade vid sidan av koden var en slags attribuering. Artefakter från binären kopplade dess utvecklare till inlägg på kriminella forum om carding, handeln med stulna betalkortsdata, som går tillbaka till 2025. Inlägget namnger inte utvecklaren och visar inte att utvecklaren genomförde attacker med verktyget. Talos bedömer i stället att saken är en produkt: en utvecklare kompilerar en anpassad körbar fil för varje kund med kundens API-nycklar och webhook inbyggda, och kunden sköter leveransen. Talos kallar den troliga modellen "credentials-as-a-service", där säljargumentet är orkestreringslagret.

Inget offer, ingen kampanj och ingen driftsättning registreras någonstans i detta. Arkivet klassificerar posten som ett forskningsresultat snarare än en driftsättningshändelse, utan att någon verklig skada har registrerats — vilket är ett uttalande om vad som har dokumenterats, inte ett påstående att ingenting har hänt.

Tiebreaket som undergräver ordet kvorum

Namnet inbjuder till en bild av fyra modeller som överlägger tills de är överens. Implementeringen är lösare än så. Vinnaren avgörs genom relativ majoritet, inte absolut majoritet: det beslut som flest modeller anger vinner, även om det är en enda röst av fyra när rösterna är splittrade på fyra alternativ. Enighet krävs inte.

Oavgjorda fall avgörs utan att någon tillfrågas igen. Talos beskriver räkneloopen som helt deterministisk och partisk till förmån för DeepSeek: DeepSeek tillfrågas först, jämförelsen behåller det första beslutet som når högsta röstantalet, så DeepSeeks röst avgör varje oavgjort fall. Om DeepSeek inte är tillgänglig ärver Qwen den avgörande rösten, sedan Mistral, sedan Gemini. En försvarare som vet vilka leverantörer som svarade kan förutsäga utfallet av en splittring utan att läsa ett enda modellsvar.

Det finns ett andra, tystare designfaktum. Om varje modell vägrar, får timeout eller returnerar felaktigt utdata, är reservlösningen inte en standardåtgärd. Talos säger att reservbeslutet är en sträng utan matchande hanterare, så loopen sover och försöker igen. Implantatet är konstruerat att göra ingenting snarare än att gissa.

Vad ordet "first" gör i den meningen

Talos påstående är snävare än vad merparten av bevakningen antydde, och den snävare avgränsningen spelar roll. Företaget säger "första offentligt dokumenterade Windows-implantatet som tillämpar den här modellen på taktisk ledning och kontroll" – inte första AI-malware, och inte första malware som använder en språkmodell. Det som hävdas vara nytt är utformningen av delegeringen: flera kommersiella leverantörer tillfrågas som en redundant beslutspanel och väljer en taktik på det infekterade värdsystemet.

Det har argumenterats om den inramningen, och argumentet handlar om presentation snarare än om de tekniska fynden. En oberoende briefing som publicerades samma dag av analytikern P.K. Sharma prövar påståendet och drar slutsatsen att det snäva arkitektoniska påståendet håller mot det offentliga underlaget, medan ”det bredare intrycket att detta är debuten för AI-driven skadlig programvara inte gör det” – och pekar på tidigare offentliga fall där skadlig programvara ställde en fråga till en språkmodell under körning, tydligast LameHug, som Ukrainas CERT-UA rapporterade om i juli 2025 och som använde en modell för att generera de kommandon som den sedan körde. Enligt den tolkningen är det som förändrades i september 2026 att modellerna väljer taktiken i stället för att skriva kommandot.

Rapporteringen i sig fick samma behandling. Den 23 september noterade mediet On the Wire att större delen av branschbevakningen hade hållit Talos fynd och Talos förbehåll samman, men att ”en brett läst rubrik inte gjorde det”, och pekade ut en rubrik som hävdade att AI-malware hade tagit bort människan från attackloopen som utan stöd i forskningen bakom den. En artikel om detekteringsengineering som publicerades på Zenodo den 7 oktober satte samma gräns i en mening: ”Varje påstående är ett påstående om en design, inte om en kompromettering.”

Ingen av dessa kritiker bestrider vad som finns i binärfilen. Arkivet registrerar inte heller posten som omstridd. Oenigheten gäller hur mycket en kompilerad förmåga som aldrig har setts köras bör tillåtas antyda.

Företaget som upptäckte det säljer också lösningen

En detalj i avslöjandet förtjänar att sägas rakt ut. CLOSEDQUORUM dök upp via CAIRN, Talos egen öppen källkodsverktygslåda för att jaga AI-integrerad skadlig kod, som Talos släppte samma dag. Talos är en del av Cisco, som säljer nätverks- och slutpunktsprodukter som hanterar den här typen av hot. Snort-regeln som utfärdats för familjen, 1:66984, är en Cisco-produkt, och dess offentliga regeldokumentation betecknar den kända användningen som ”Attacker/scanningar som setts i det vilda” – en fastare formulering än forskningsinläggets egen uppgift att det inte finns någon bekräftelse på spridning i det vilda. Regeldokumentationen beskriver vad regeln larmar om, inte bevis på ett offer, och de två uttalandena är inte formellt motsägelsefulla; de har olika tyngd. En läsare som väger en leverantörs fynd bör luta sig mot den tekniska detaljen, som kan kontrolleras, snarare än inramningen, som inte kan det.

Vad försvarare instrueras att leta efter

Eftersom infrastrukturen är legitim är domänblockering inte tillgänglig. Talos vägledning är beteendekorrelation: ingen enskild signal identifierar implantatet, men en kombination gör det. Listan som Talos anger är:

• API-trafik till AI-modellleverantörer som kommer från en Windows-exekverbar fil som inte har någon anledning att använda en sådan

• Liknande förfrågningar som skickas till flera leverantörer inom ett kort intervall från samma process

• Prompter som innehåller värddetaljer eller formuleringar om offensiv förmåga, endast synliga via TLS-inspektion eller på leverantörssidan

• Processinjektion, åtkomst till autentiseringsuppgifter i minnet eller ny persistens på samma värd

• Discord-webhooktrafik från den processen eller värden

• Körning som upprepas med slumpmässiga intervall på fem till femton minuter

Resonemanget bakom signalen om flera leverantörer är den mest överförbara delen av fyndet. Legitim programvara binder sig till en leverantör, eller växlar över till en andra när den första får fel. Programvara som sprider ut sig till fyra och jämför svaren gör något annat. Talos publicerade en YARA-regel och Snort-regeln tillsammans med inlägget, samt sex SHA-256-hashar som täcker byggen från ungefär en veckas utveckling. The Hacker News rapporterade den 23 september att regelfilen som medföljde CAIRN inte själv innehöll någon CLOSEDQUORUM-regel, så CAIRN-användare måste lägga till Talos regel för hand; regeln publiceras i blogginlägget.

Vad avslöjandet förändrar

Mycket lite om nuet, och något om den nära framtiden. Talos är rakt på sak i sin egen bedömning: CLOSEDQUORUM "bör inte förstås som en sofistikerad bit skadlig programvara, utan som en demonstration av att det arkitektoniska skiftet mot automatisering av angreppskedjor är på väg". De funktioner den kan utlösa är vanliga verktyg för fasen efter intrång. Det nya är att valet av vilken funktion som ska användas härnäst har flyttats från operatören till en röstningspanel av kommersiella modeller, som körs oavsett om någon är vaken.

Talos kallar det för effort displacement, och det är ett påstående om var en fas av en attack lever snarare än hur snabbt den körs – operatören görs inte snabbare, utan avlägsnas från ett beslut. Samma design, noterar Talos, ger försvarare en uppsättning svagheter att arbeta med: leverantörer vägrar, begränsar hastigheten och returnerar felaktig utdata, åtgärdsutrymmet är fyra ord brett och tie-break är förutsägbart. Autonomi här byter mänskliga begränsningar mot modell- och infrastrukturbegränsningar.

Inget i materialet säger att detta användes. Det som sägs är att arkitekturen kompilerar, att någon byggde den för att sälja, och att det särskiljande draget är tillräckligt tydligt utifrån att en försvarare kan räkna leverantörer per process. Det är ett mindre påstående än rubrikerna, och ett mer användbart sådant.