Cisco Talos พบ Windows Implant ที่ให้ LLM สี่ตัวลงมติเลือกการเคลื่อนไหวถัดไปของมัน

เมื่อวันที่ 22 กันยายน 2026 Cisco Talos ได้เผยแพร่ผลการวิจัยเกี่ยวกับ CLOSEDQUORUM ซึ่งเป็นอิมแพลนต์สำหรับ Windows ที่ไม่รอคำสั่งจากผู้โจมตี เมื่อเริ่มทำงาน มันจะอธิบายเครื่องที่มันเข้าไปฝังตัว ถามโมเดล AI เชิงพาณิชย์ได้สูงสุดสี่ตัวว่าควรทำอะไรต่อไป — DeepSeek, Qwen, Mistral และ Google Gemini — นับคำตอบของพวกมันเป็นคะแนนเสียง และดำเนินการใดในสี่อย่างที่ชนะ Talos เรียกมันว่า "เท่าที่เราทราบ นี่เป็นอิมแพลนต์ Windows ตัวแรกที่ได้รับการบันทึกต่อสาธารณะซึ่งนำรูปแบบนี้มาใช้กับการบัญชาการและควบคุมทางยุทธวิธี" โพสต์เดียวกันระบุว่า Talos ไม่มีการยืนยันว่าอิมแพลนต์นี้เคยถูกนำไปใช้งานจริง และสำเนาที่เผยแพร่ต่อสาธารณะนั้นใช้งานไม่ได้ โดยคีย์ API และเว็บฮุกสำหรับส่งข้อมูลออกเป็นเพียงตัวแทนชั่วคราว ไม่มีการบันทึกความเสียหายต่อผู้ใช้รายใด บันทึกฉบับเต็มพร้อมแหล่งที่มาและการจัดระดับความรุนแรงอยู่ใน คลังเหตุการณ์ AI ควบคู่กับข้อค้นพบด้านอาวุธ AI อื่น ๆ ที่ได้รับการบันทึกไว้

สิ่งที่ Talos บอกว่าอิมแพลนต์ทำ

ตัวอย่างที่ Talos อธิบายคือไฟล์ปฏิบัติการ Windows 64 บิตขนาด 16.4MB ที่เขียนด้วย Go และมี C ผสมอยู่บ้างเพื่อให้สามารถเรียกใช้ฟังก์ชันระบบของ Windows ได้โดยตรง ความแปลกใหม่ของมันไม่ได้อยู่ที่เพย์โหลด แต่อยู่ที่ตัวฝังโค้ด (implant) ไม่มีเซิร์ฟเวอร์ที่ผู้โจมตีควบคุมให้ส่งสัญญาณกลับไปหา แทนที่จะใช้โดเมน command-and-control มันกลับใช้ปลายทาง API ของผู้ให้บริการโมเดลภาษาขนาดใหญ่ ซึ่งเป็นโครงสร้างพื้นฐานที่มีแอปพลิเคชันถูกต้องตามกฎหมายหลายพันรายติดต่อทุกวัน และด้วยเหตุนี้จึงไม่สามารถบล็อกได้ทันทีที่พบเห็น

ในแต่ละรอบ รูทีนจะเก็บรวบรวมข้อเท็จจริงพื้นฐานเกี่ยวกับโฮสต์ ได้แก่ ชื่อของโฮสต์ เวอร์ชันและสถาปัตยกรรมของ Windows จำนวนโปรเซสเซอร์ และว่าอิมแพลนท์กำลังทำงานด้วยสิทธิ์ผู้ดูแลระบบหรือไม่ ข้อความนั้นจะถูกใส่ลงในพรอมต์และส่งไปยังผู้ให้บริการทีละราย โมเดลไม่ถูกขอให้เขียนร้อยแก้ว Talos ดึงซิสเต็มพรอมต์ออกจากไบนารีและยกคำพูดมาดังนี้: "คุณคือนักกลยุทธ์มัลแวร์ขั้นสูง ให้เฉพาะการตัดสินใจที่นำไปปฏิบัติได้เท่านั้น" การตอบกลับแต่ละครั้งต้องแปลงกลับเป็นโครงสร้างที่มีชนิดข้อมูล ซึ่งฟิลด์ decision ระบุชื่อหนึ่งในสี่การกระทำ มิฉะนั้นจะถูกทิ้ง

การกระทำทั้งสี่จะถูกส่งต่อไปยังโมดูลความสามารถที่มนุษย์เขียนและคอมไพล์ไว้ในไบนารี steal จะรันรูทีนการเก็บรวบรวมสามอย่างพร้อมกัน: การดัมป์หน่วยความจำข้อมูลรับรองของ Windows, รหัสผ่านเบราว์เซอร์ที่บันทึกไว้ และไฟล์กระเป๋าเงินคริปโทเคอร์เรนซี inject จะรันโค้ดภายในโปรเซสอื่น persist จะจัดการให้อิมแพลนท์เริ่มทำงานอีกครั้งด้วยตัวเอง move, ซึ่งเป็นตัวเลือกการเคลื่อนที่ในแนวนอน ไม่มีตัวจัดการเลยในบิลด์ที่ Talos ตรวจสอบ — โมเดลสามารถโหวตให้มันได้และไม่มีอะไรเกิดขึ้น

การตัดสินใจที่ชนะจะถูกโพสต์ไปยัง Discord webhook ก่อนที่จะถูกดำเนินการ ดังนั้นผู้ปฏิบัติงานจะเห็นตัวเลือกของแผงควบคุมและเหตุผลที่ระบุไว้มาถึงในช่องแชทแบบเรียลไทม์ วัสดุที่ถูกขโมยจะไปยังช่องเดียวกัน โดยเข้ารหัสด้วยคีย์ที่ได้มาจากวันที่ปัจจุบัน Talos อ่านตัวเลือกนั้นอย่างเฉียบคม: เนื่องจากนักพัฒนารู้วันที่เสมอ มันจึงเป็น "{{1}}การทำให้สับสน ไม่ใช่การแยกความลับที่แท้จริงระหว่างนักพัฒนากับผู้ปฏิบัติงาน{{/1}}"

สิ่งที่ได้รับการยืนยันแล้ว และสิ่งที่ยังไม่ได้รับการยืนยัน

Talos แสดงเส้นแบ่งอย่างชัดเจนผิดปกติ และควรเก็บสองครึ่งไว้ด้วยกัน สิ่งที่การวิเคราะห์แบบสแตติกยืนยันคือลูปการตัดสินใจเอง ได้แก่ รายการผู้ให้บริการ ลำดับการสอบถาม การนับคะแนนเสียง การตอบกลับแบบระบุชนิด และการกำหนดเส้นทางจากคำที่ชนะไปยังความสามารถ ไฟล์ไบนารีไม่ได้ถูก strip จึงอ่านชื่อฟังก์ชันที่ทำงานนี้ได้จากไฟล์ บิลด์สำหรับการพัฒนาพบว่าข้อมูลรับรองของผู้ให้บริการถูกเขียนลงไปในขณะคอมไพล์

สิ่งที่ยังไม่ได้รับการยืนยันคือส่วนใดส่วนหนึ่งของมันเคยทำงานครบรอบเต็มกับเครื่องจริงหรือไม่ Talos ระบุว่า build ที่เผยแพร่สู่สาธารณะเป็น "แม่แบบที่ไม่มีการทำงาน (inert template)": API key ของทุกโมเดลจะเริ่มต้นเป็นสตริงตัวยึดตำแหน่ง webhook เริ่มต้นเป็นที่อยู่จำลอง และไบนารี "ไม่สามารถทำงานได้เมื่อแจกจ่าย" Talos กล่าวว่า "ไม่ได้สังเกตเห็นการทำงานแบบ end-to-end ที่สมบูรณ์ของสถาปัตยกรรมนี้" นอกจากนี้ยังระบุในย่อหน้าเปิดของโพสต์ว่าไม่มีการยืนยันถึงการติดตั้งใช้งานในสภาพจริง (in-the-wild deployment)

สิ่งที่ Talos พบได้จริงควบคู่ไปกับโค้ดคือการระบุตัวตนในลักษณะหนึ่ง ร่องรอยจากไบนารีเชื่อมโยงผู้พัฒนาของมันกับโพสต์ต่าง ๆ ในฟอรัมอาชญากรรมเกี่ยวกับ carding ซึ่งเป็นการค้าข้อมูลบัตรชำระเงินที่ถูกขโมย โดยย้อนไปถึงปี 2025 โพสต์ดังกล่าวไม่ได้ระบุชื่อผู้พัฒนา และไม่ได้ยืนยันว่าผู้พัฒนาได้ดำเนินการโจมตีด้วยเครื่องมือนี้ แต่ Talos ประเมินว่าแท้จริงแล้วสิ่งนี้เป็นผลิตภัณฑ์: ผู้พัฒนาจะคอมไพล์ไฟล์ปฏิบัติการที่ปรับแต่งสำหรับลูกค้าแต่ละราย โดยฝังคีย์ API และ webhook ของลูกค้ารายนั้นไว้ภายใน และลูกค้าเป็นผู้จัดการส่งมอบ Talos เรียกโมเดลที่เป็นไปได้นี้ว่า “credentials-as-a-service” ซึ่งจุดขายคือชั้นการประสานงาน (orchestration layer)

ในข้อมูลนี้ไม่มีการบันทึกถึงเหยื่อ แคมเปญ หรือการนำไปใช้งานใด ๆ เลย คลังข้อมูลจัดให้รายการนี้เป็นผลการค้นพบจากการวิจัยมากกว่าเป็นเหตุการณ์การนำไปใช้งาน โดยไม่มีการบันทึกถึงความเสียหายที่เกิดขึ้นจริง ซึ่งเป็นถ้อยแถลงเกี่ยวกับสิ่งที่ได้รับการบันทึกไว้เท่านั้น ไม่ใช่ข้ออ้างว่าไม่มีอะไรเกิดขึ้นเลย

การตัดสินชี้ขาดกรณีคะแนนเสมอที่บั่นทอนความหมายของคำว่า quorum

ชื่อนี้ชวนให้จินตนาการถึงโมเดลสี่ตัวที่ปรึกษาหารือกันจนกว่าจะเห็นพ้องกัน แต่การนำไปใช้จริงหลวมกว่านั้น ผู้ชนะตัดสินด้วยคะแนนเสียงแบบพหุภาพ (plurality) ไม่ใช่เสียงข้างมาก: ตัวเลือกที่โมเดลจำนวนมากที่สุดระบุจะเป็นผู้ชนะ แม้ว่าจะเป็นเพียงหนึ่งเสียงจากสี่เสียงในการแตกเป็นสี่ทางก็ตาม ไม่จำเป็นต้องมีความเห็นพ้องกัน

การเสมอกันจะถูกตัดสินโดยไม่ต้องถามใครอีก Talos อธิบายว่าลูปการนับเป็นแบบกำหนดผลได้แน่นอนเต็มที่และเอนเอียงไปทาง DeepSeek: DeepSeek ถูกสอบถามก่อน การเปรียบเทียบจะคงการตัดสินใจแรกที่ไปถึงจำนวนสูงสุดไว้ ดังนั้นคะแนนเสียงของ DeepSeek จึงเป็นตัวชี้ขาดในการเสมอกันทุกครั้ง หาก DeepSeek ไม่พร้อมใช้งาน Qwen จะรับช่วงคะแนนเสียงชี้ขาด ตามด้วย Mistral และ Gemini ผู้ป้องกันที่รู้ว่าผู้ให้บริการรายใดตอบกลับมาสามารถคาดการณ์ผลลัพธ์ของการลงคะแนนที่แตกออกเป็นสองฝ่ายได้โดยไม่ต้องอ่านคำตอบของโมเดลแม้แต่รายการเดียว

มีข้อเท็จจริงด้านการออกแบบประการที่สองที่เงียบกว่า หากโมเดลทุกตัวปฏิเสธ หมดเวลาหรือส่งเอาต์พุตที่ผิดรูปแบบ สิ่งที่ใช้แทนไม่ใช่การดำเนินการเริ่มต้น Talos กล่าวว่าการตัดสินใจ fallback เป็นสตริงที่ไม่มีตัวจัดการที่ตรงกัน ดังนั้นลูปจึงหลับและลองใหม่ อิมแพลนต์ถูกสร้างให้ไม่ทำอะไรเลยแทนที่จะเดา

คำว่า "first" ทำหน้าที่อะไรในประโยคนั้น

ข้อกล่าวอ้างของ Talos แคบกว่าที่การรายงานข่าวส่วนใหญ่สื่อออกมา และการจำกัดขอบเขตให้แคบลงนั้นสำคัญ บริษัทกล่าวว่า “เป็น Windows implant รายแรกที่มีเอกสารเผยแพร่ต่อสาธารณะซึ่งนำโมเดลนี้ไปใช้กับการสั่งการและควบคุมทางยุทธวิธี” ไม่ใช่แมลแวร์ AI รายแรก และไม่ใช่แมลแวร์รายแรกที่ใช้โมเดลภาษา สิ่งที่ถูกอ้างว่าเป็นของใหม่คือรูปแบบของการมอบหมายงาน: ผู้ให้บริการเชิงพาณิชย์หลายรายถูกเรียกใช้เป็นคณะตัดสินใจแบบสำรอง เพื่อเลือกยุทธวิธีบนโฮสต์ที่ติดเชื้อ

การวางกรอบเช่นนั้นได้รับการโต้เถียงกัน และการโต้เถียงนั้นเป็นเรื่องของการนำเสนอมากกว่าข้อค้นพบทางเทคนิค รายงานสรุปindependent briefingที่เผยแพร่ในวันเดียวกันโดยนักวิเคราะห์ P.K. Sharma ได้ตรวจสอบข้อกล่าวอ้างนี้และสรุปว่า ข้อกล่าวอ้างเชิงสถาปัตยกรรมแบบแคบยังคงสอดคล้องกับบันทึกสาธารณะ ขณะที่ "ความประทับใจในวงกว้างว่านี่คือการเปิดตัวมัลแวร์ที่ขับเคลื่อนด้วย AI นั้นไม่เป็นเช่นนั้น" — โดยชี้ไปยังกรณีสาธารณะก่อนหน้า ซึ่งมัลแวร์ได้สอบถามโมเดลภาษาในขณะทำงาน ชัดเจนที่สุดคือ LameHug ซึ่ง CERT-UA ของยูเครนรายงานในเดือนกรกฎาคม 2025 และใช้โมเดลเพื่อสร้างคำสั่งที่มันนำไปรันในภายหลัง ภายใต้การตีความนั้น สิ่งที่เปลี่ยนไปในเดือนกันยายน 2026 คือโมเดลเป็นผู้เลือกยุทธวิธีแทนที่จะเป็นผู้เขียนคำสั่ง

ตัวรายงานเองก็ได้รับการปฏิบัติแบบเดียวกัน เมื่อวันที่ 23 กันยายน สำนักข่าว On the Wire ตั้งข้อสังเกตว่าสื่อเฉพาะทางส่วนใหญ่ได้นำข้อค้นพบของ Talos และข้อควรระวังของ Talos ไว้ด้วยกัน แต่ "พาดหัวข่าวที่ถูกอ่านกันอย่างแพร่หลายหนึ่งชิ้นไม่ได้ทำเช่นนั้น" และชี้เฉพาะพาดหัวข่าวที่อ้างว่ามัลแวร์ AI ได้นำมนุษย์ออกจากวงจรการโจมตี ว่าไม่ได้รับการสนับสนุนจากงานวิจัยที่รองรับอยู่เบื้องหลัง บทความด้านวิศวกรรมการตรวจจับซึ่งเผยแพร่บน Zenodo เมื่อวันที่ 7 ตุลาคมได้สรุปข้อจำกัดเดียวกันไว้ในประโยคเดียวว่า "ทุกข้อกล่าวอ้างเป็นข้อกล่าวอ้างเกี่ยวกับการออกแบบ ไม่ใช่เกี่ยวกับการถูกเจาะระบบ"

ไม่มีนักวิจารณ์กลุ่มนี้คนใดโต้แย้งว่าสิ่งที่อยู่ภายในไฟล์ไบนารีคืออะไร ทำนองเดียวกัน คลังเก็บถาวรก็ไม่ได้บันทึกรายการนี้ว่าอยู่ในข้อโต้แย้ง ข้อขัดแย้งอยู่ที่ว่าเราควรยอมให้ความสามารถที่ผ่านการคอมไพล์แล้ว ซึ่งไม่เคยมีใครเห็นมันทำงาน สื่อความนัยได้มากเพียงใด

บริษัทที่ค้นพบมันยังขายวิธีแก้ไขด้วย

มีรายละเอียดหนึ่งในคำเปิดเผยที่ควรกล่าวอย่างตรงไปตรงมา CLOSEDQUORUM ปรากฏผ่าน CAIRN ซึ่งเป็นชุดเครื่องมือโอเพนซอร์สของ Talos เองสำหรับตามล่ามัลแวร์ที่ผสาน AI ซึ่ง Talos เผยแพร่ในวันเดียวกัน Talos เป็นหน่วยงานหนึ่งของ Cisco ซึ่งจำหน่ายผลิตภัณฑ์ด้านเครือข่ายและเอนด์พอยต์ที่รับมือกับภัยคุกคามประเภทนี้ กฎ Snort ที่ออกมาสำหรับตระกูลนี้คือ 1:66984 เป็นผลิตภัณฑ์ของ Cisco และเอกสารกฎสาธารณะระบุการใช้งานที่ทราบว่าเป็น "Attacks/Scans seen in the wild" — ถ้อยคำที่หนักแน่นกว่าข้อความในโพสต์วิจัยเองที่ว่ายังไม่มีการยืนยันการนำไปใช้งานในโลกจริง เอกสารกฎอธิบายสิ่งที่กฎแจ้งเตือน ไม่ใช่หลักฐานว่ามีเหยื่อ และข้อความทั้งสองไม่ได้ขัดแย้งกันอย่างเป็นทางการ แต่มีน้ำหนักต่างกัน ผู้อ่านที่กำลังชั่งน้ำหนักข้อค้นพบของผู้จำหน่ายควรยึดรายละเอียดทางเทคนิคซึ่งตรวจสอบได้ มากกว่ากรอบการนำเสนอซึ่งตรวจสอบไม่ได้

สิ่งที่ผู้ป้องกันถูกบอกให้มองหา

เนื่องจากโครงสร้างพื้นฐานนั้นถูกต้องตามกฎหมาย การบล็อกโดเมนจึงไม่สามารถทำได้ คำแนะนำของ Talos คือการหาความสัมพันธ์เชิงพฤติกรรม: ไม่มีสัญญาณใดสัญญาณหนึ่งเพียงลำพังที่ระบุอิมแพลนต์ได้ แต่การรวมกันของหลายสัญญาณสามารถระบุได้ รายการที่ Talos ให้มีดังนี้:

• ทราฟฟิก API ไปยังผู้ให้บริการโมเดล AI ที่มีต้นกำเนิดจากไฟล์ปฏิบัติการ Windows ซึ่งไม่มีเหตุผลใดที่จะต้องใช้งานไฟล์ดังกล่าว

• คำขอที่คล้ายกันซึ่งส่งไปยังผู้ให้บริการหลายรายภายในช่วงเวลาสั้น ๆ จากโปรเซสเดียวกัน

• พรอมต์ที่มีรายละเอียดของโฮสต์หรือถ้อยคำที่สื่อถึงความสามารถในการโจมตี ซึ่งมองเห็นได้เฉพาะผ่านการตรวจสอบ TLS หรือทางฝั่งผู้ให้บริการเท่านั้น

• การฉีดโค้ดเข้าสู่โปรเซส การเข้าถึงหน่วยความจำที่จัดเก็บข้อมูลรับรอง หรือการสร้างกลไกคงอยู่ใหม่บนโฮสต์เดียวกัน

• ทราฟฟิกเว็บฮุก Discord จากโปรเซสหรือโฮสต์นั้น

• การดำเนินการซ้ำในช่วงเวลาสุ่มทุก 5 ถึง 15 นาที

เหตุผลเบื้องหลังสัญญาณแบบหลายผู้ให้บริการเป็นส่วนที่ถ่ายทอดได้มากที่สุดของสิ่งที่ค้นพบ ซอฟต์แวร์ที่ชอบด้วยกฎหมายจะผูกกับผู้ให้บริการรายเดียว หรือสลับไปยังรายที่สองเมื่อรายแรกเกิดข้อผิดพลาด ซอฟต์แวร์ที่กระจายคำขอไปยังสี่รายแล้วเปรียบเทียบคำตอบกำลังทำสิ่งอื่น Talos เผยแพร่กฎ YARA และกฎ Snort พร้อมกับโพสต์ รวมถึงแฮช SHA-256 หกค่า ซึ่งครอบคลุมบิลด์จากการพัฒนาประมาณหนึ่งสัปดาห์ The Hacker News รายงานเมื่อวันที่ 23 กันยายนว่าไฟล์กฎที่มาพร้อมกับ CAIRN นั้นไม่มีกฎ CLOSEDQUORUM อยู่ในตัว ดังนั้นผู้ใช้ CAIRN จึงต้องเพิ่มกฎของ Talos ด้วยตนเอง กฎดังกล่าวเผยแพร่ในโพสต์บล็อก

สิ่งที่การเปิดเผยเปลี่ยนแปลง

แทบไม่มีอะไรเกี่ยวกับปัจจุบัน และมีบางอย่างเกี่ยวกับอนาคตอันใกล้ Talos กล่าวตรง ๆ ในการประเมินของตนเองว่า CLOSEDQUORUM "ควรทำความเข้าใจไม่ใช่ในฐานะมัลแวร์ที่ซับซ้อน แต่เป็นข้อพิสูจน์ว่าการเปลี่ยนผ่านทางสถาปัตยกรรมไปสู่ระบบอัตโนมัติของห่วงโซ่การโจมตีกำลังจะมาถึง" ความสามารถที่มันสั่งให้ทำงานได้นั้นเป็นเครื่องมือทั่วไปที่ใช้หลังการถูกบุกรุก สิ่งใหม่คือการเลือกว่าจะใช้ความสามารถใดต่อไปได้ถูกย้ายออกจากผู้ปฏิบัติการไปยังคณะผู้ลงคะแนนซึ่งประกอบด้วยโมเดลเชิงพาณิชย์ โดยทำงานไม่ว่ามีใครตื่นอยู่หรือไม่

คำที่ Talos ใช้เรียกสิ่งนี้คือการย้ายความพยายาม และมันเป็นข้อกล่าวอ้างเกี่ยวกับว่าช่วงหนึ่งของการโจมตีอยู่ตรงไหน มากกว่าว่ามันทำงานได้เร็วเพียงใด — ผู้ปฏิบัติการไม่ได้ถูกทำให้เร็วขึ้น แต่ถูกตัดออกจากจุดตัดสินใจหนึ่งจุด Talos ตั้งข้อสังเกตว่า การออกแบบเดียวกันนี้มอบชุดจุดอ่อนให้ฝ่ายป้องกันนำไปใช้ได้: ผู้ให้บริการปฏิเสธ จำกัดอัตราการเรียกใช้ และส่งผลลัพธ์ที่ผิดรูปแบบ พื้นที่การกระทำกว้างเพียงสี่คำ และการตัดสินเมื่อเสมอกันคาดเดาได้ ความเป็นอัตโนมัติในที่นี้แลกข้อจำกัดของมนุษย์กับข้อจำกัดของโมเดลและโครงสร้างพื้นฐาน

ไม่มีอะไรในบันทึกที่บอกว่าสิ่งนี้ถูกใช้งานแล้ว สิ่งที่บันทึกบอกคือสถาปัตยกรรมนี้คอมไพล์ได้ มีคนสร้างมันขึ้นมาเพื่อขาย และลักษณะเด่นนั้นมองเห็นได้ชัดจากภายนอกมากพอที่ฝ่ายป้องกันจะนับจำนวนผู้ให้บริการต่อโปรเซสได้ นั่นเป็นข้อกล่าวอ้างที่เล็กกว่าพาดหัวข่าว และเป็นข้อกล่าวอ้างที่มีประโยชน์กว่า