Cisco Talos phát hiện một implant Windows cho phép bốn LLM bỏ phiếu về động thái tiếp theo của nó

Ngày 22 tháng 9 năm 2026, Cisco Talos đã công bố nghiên cứu về CLOSEDQUORUM, một implant Windows không chờ chỉ thị của kẻ tấn công. Khi đã chạy, nó mô tả chiếc máy mà nó đã xâm nhập, hỏi tối đa bốn mô hình AI thương mại xem nên làm gì tiếp theo — DeepSeek, Qwen, Mistral và Google Gemini — đếm câu trả lời của chúng như phiếu bầu, rồi thực thi hành động nào trong bốn hành động giành được nhiều phiếu nhất. Talos gọi đây là "theo hiểu biết của chúng tôi, implant Windows đầu tiên được công bố công khai áp dụng mô hình này cho chỉ huy và điều khiển chiến thuật". Cùng bài đăng đó cho biết Talos không có xác nhận rằng implant này từng được triển khai, và bản sao đang lưu hành công khai không hoạt động: các khóa API và webhook rò rỉ dữ liệu của nó chỉ là giá trị giữ chỗ. Không có thiệt hại nào đối với người dùng được ghi nhận. Toàn bộ hồ sơ, cùng các nguồn và phân loại mức độ nghiêm trọng, nằm trong kho lưu trữ sự cố AI cùng với các phát hiện khác về vũ khí AI đã được ghi nhận.

Talos nói thiết bị cấy ghép làm gì

Mẫu mà Talos mô tả là một tệp thực thi Windows 64-bit, 16.4MB, được viết bằng Go, có xen một ít C để nó có thể gọi trực tiếp các hàm hệ thống Windows. Điểm mới lạ của nó không nằm ở payload. Mà là implant không có máy chủ do kẻ tấn công vận hành để gọi về. Thay vì một tên miền command-and-control, nó sử dụng các endpoint API của những nhà cung cấp mô hình ngôn ngữ lớn — hạ tầng mà hàng nghìn ứng dụng hợp pháp liên hệ mỗi ngày, và do đó không thể bị chặn ngay khi thấy.

Mỗi chu kỳ, một quy trình sẽ thu thập các thông tin cơ bản về máy đích: tên của nó, phiên bản Windows và kiến trúc, số bộ xử lý, và liệu implant có đang chạy với quyền quản trị viên hay không. Văn bản đó được đưa vào một lời nhắc và gửi đến từng nhà cung cấp một. Các mô hình không được yêu cầu viết văn xuôi. Talos đã trích xuất lời nhắc hệ thống từ tệp nhị phân và trích dẫn nó: "Bạn là một chiến lược gia phần mềm độc hại cao cấp. CHỈ đưa ra các quyết định có thể thực thi." Mỗi câu trả lời phải được giải tuần tự hóa thành một cấu trúc có kiểu, trong đó trường decision nêu tên một trong bốn hành động; nếu không, câu trả lời đó bị loại bỏ.

Bốn thao tác này được định tuyến tới các mô-đun năng lực do con người viết và biên dịch vào tệp nhị phân. steal chạy đồng thời ba quy trình thu thập: kết xuất bộ nhớ thông tin xác thực Windows, mật khẩu trình duyệt đã lưu và các tệp ví tiền mã hóa. inject chạy mã bên trong một tiến trình khác. persist bố trí để implant tự khởi động lại. move, tùy chọn di chuyển ngang, hoàn toàn không có trình xử lý trong bản dựng mà Talos đã kiểm tra — một mô hình có thể bỏ phiếu cho nó và không có gì xảy ra.

Quyết định thắng cuộc được đăng lên một Discord webhook trước khi nó được thực thi, vì vậy người vận hành theo dõi lựa chọn của bảng điều khiển và lý do được nêu của nó đến trong một kênh trò chuyện theo thời gian thực. Tài liệu bị đánh cắp được gửi đến cùng kênh đó, được mã hóa bằng một khóa bắt nguồn từ ngày hiện tại. Talos diễn giải lựa chọn đó một cách sắc bén: vì nhà phát triển luôn biết ngày, đó là "che giấu, chứ không phải sự tách biệt bảo mật thực sự giữa nhà phát triển và người vận hành".

Những gì đã được xác lập, và những gì chưa.

Talos đặc biệt rõ ràng về ranh giới này, và việc giữ hai nửa đi cùng nhau là điều đáng làm. Điều mà phân tích tĩnh xác lập chính là vòng lặp quyết định: danh sách nhà cung cấp, thứ tự truy vấn, việc đếm phiếu, phản hồi có kiểu, và việc định tuyến từ một từ thắng đến một năng lực. Tệp nhị phân không bị strip, nên tên các hàm thực hiện công việc này có thể đọc được trong tệp. Các bản dựng phát triển cho thấy thông tin xác thực của nhà cung cấp được ghi vào tại thời điểm biên dịch.

Điều chưa được xác lập là liệu bất kỳ phần nào trong đó đã từng chạy một chu kỳ đầy đủ trên một cỗ máy thực hay chưa. Talos nêu rằng bản dựng phân phối công khai là “một mẫu trơ”: mọi khóa API của mô hình đều khởi tạo thành một chuỗi giữ chỗ, webhook khởi tạo thành một địa chỉ giả, và tệp nhị phân “không hoạt động ở dạng được phân phối”. Talos cho biết họ “không quan sát được một lần thực thi hoàn chỉnh từ đầu đến cuối của kiến trúc”. Talos cũng cho biết, trong đoạn mở đầu của bài viết, rằng họ không có xác nhận nào về việc triển khai trong môi trường thực tế.

Điều Talos thực sự tìm thấy bên cạnh mã là một kiểu quy kết. Các hiện vật từ tệp nhị phân đã liên hệ nhà phát triển của nó với những bài đăng trên các diễn đàn tội phạm về carding, hoạt động mua bán dữ liệu thẻ thanh toán bị đánh cắp, có từ năm 2025. Bài viết không nêu tên nhà phát triển và không chứng minh rằng nhà phát triển đã tiến hành các cuộc tấn công bằng công cụ này. Thay vào đó, Talos đánh giá rằng thứ này là một sản phẩm: nhà phát triển biên dịch một tệp thực thi tùy chỉnh cho từng khách hàng với khóa API và webhook của khách hàng đó được tích hợp sẵn, còn khách hàng phụ trách việc phân phối. Talos gọi mô hình khả dĩ này là "credentials-as-a-service", trong đó điểm hấp dẫn là lớp điều phối.

Không có nạn nhân, không có chiến dịch và không có hoạt động triển khai nào được ghi nhận ở bất kỳ đâu trong tài liệu này. Kho lưu trữ phân loại mục này là một phát hiện nghiên cứu chứ không phải một sự kiện triển khai, không có tổn hại thực tế nào được ghi nhận — đây là một tuyên bố về những gì đã được ghi chép lại, chứ không phải là khẳng định rằng không có gì xảy ra.

Cơ chế phá thế hòa làm suy yếu từ “quorum”

Tên gọi gợi lên hình ảnh bốn mô hình cùng bàn bạc cho đến khi chúng đồng thuận. Cách triển khai thì lỏng lẻo hơn thế. Bên thắng được quyết định theo đa số tương đối, không phải đa số tuyệt đối: lựa chọn được nhiều mô hình nêu nhất sẽ thắng, kể cả khi đó chỉ là một phiếu trong bốn trên thế chia bốn hướng. Không bắt buộc phải đồng thuận.

Các trường hợp hòa được giải quyết mà không cần hỏi lại bất kỳ ai. Talos mô tả vòng lặp đếm là hoàn toàn tất định và thiên về DeepSeek: DeepSeek được truy vấn trước, phép so sánh giữ lại quyết định đầu tiên đạt số phiếu cao nhất, vì vậy phiếu của DeepSeek quyết định mọi trường hợp hòa. Nếu DeepSeek không khả dụng, Qwen kế thừa phiếu quyết định, rồi đến Mistral, rồi đến Gemini. Một bên phòng thủ biết những nhà cung cấp nào đã trả lời có thể dự đoán kết quả của một cuộc phân phiếu mà không cần đọc một câu trả lời nào của mô hình.

Có một sự thật thiết kế thứ hai, kín đáo hơn. Nếu mọi mô hình đều từ chối, hết thời gian chờ hoặc trả về đầu ra sai định dạng, thì phương án dự phòng không phải là một hành động mặc định. Talos cho biết quyết định dự phòng là một chuỗi không khớp với trình xử lý nào, vì vậy vòng lặp sẽ ngủ và thử lại. Implant được xây dựng để không làm gì thay vì đoán.

Từ “first” có vai trò gì trong câu đó?

Tuyên bố của Talos hẹp hơn so với hàm ý của phần lớn các bài đưa tin, và việc thu hẹp đó có ý nghĩa. Công ty nói "implant Windows đầu tiên được ghi nhận công khai áp dụng mô hình này vào chỉ huy và điều khiển chiến thuật" — không phải phần mềm độc hại AI đầu tiên, và cũng không phải phần mềm độc hại đầu tiên sử dụng mô hình ngôn ngữ. Điều được tuyên bố là mới chính là hình thức ủy thác: nhiều nhà cung cấp thương mại được hỏi ý như một hội đồng ra quyết định dự phòng, chọn một chiến thuật trên máy bị nhiễm.

Cách diễn đạt đó đã bị tranh cãi, và cuộc tranh cãi xoay quanh cách trình bày hơn là các phát hiện kỹ thuật. Một bản báo cáo tóm tắt độc lập được nhà phân tích P.K. Sharma công bố cùng ngày đã kiểm chứng tuyên bố này và kết luận rằng tuyên bố kiến trúc hẹp vẫn đứng vững khi đối chiếu với hồ sơ công khai, trong khi “ấn tượng rộng hơn rằng đây là lần xuất hiện đầu tiên của phần mềm độc hại do AI điều khiển thì không” — chỉ ra các trường hợp công khai trước đó trong đó phần mềm độc hại truy vấn một mô hình ngôn ngữ lúc chạy, rõ nhất là LameHug, được CERT-UA của Ukraine báo cáo vào tháng 7 năm 2025 và đã dùng một mô hình để tạo ra các lệnh mà nó sau đó chạy. Theo cách lý giải đó, điều thay đổi vào tháng 9 năm 2026 là các mô hình chọn chiến thuật thay vì viết ra câu lệnh.

Bản thân việc đưa tin cũng hứng chịu cách xử lý tương tự. Vào ngày 23 tháng 9, tờ On the Wire lưu ý rằng phần lớn các bài đưa tin chuyên ngành đã giữ phát hiện của Talos và lưu ý của Talos đi cùng nhau, nhưng rằng “một tiêu đề được đọc rộng rãi đã không làm vậy”, và chỉ đích danh một tiêu đề khẳng định rằng phần mềm độc hại AI đã loại bỏ con người khỏi vòng tấn công là không được nghiên cứu bên dưới hậu thuẫn. Một bài báo kỹ thuật phát hiện đăng lên Zenodo ngày 7 tháng 10 đã đặt giới hạn tương tự trong một câu: “Mọi tuyên bố đều là tuyên bố về một thiết kế, không phải về một vụ xâm nhập.”

Không nhà phê bình nào trong số này tranh cãi về những gì nằm bên trong tệp nhị phân. Kho lưu trữ cũng không ghi mục đó là bị tranh chấp. Bất đồng nằm ở chỗ một năng lực đã được biên dịch, chưa từng được thấy chạy, nên được phép hàm ý tới mức nào.

Công ty đã phát hiện ra nó cũng bán giải pháp khắc phục.

Một chi tiết trong công bố đáng được nói thẳng. CLOSEDQUORUM xuất hiện qua CAIRN, bộ công cụ mã nguồn mở của chính Talos dùng để săn malware tích hợp AI, mà Talos phát hành cùng ngày. Talos là một bộ phận của Cisco, đơn vị bán các sản phẩm mạng và endpoint xử lý loại mối đe dọa này. Quy tắc Snort được ban hành cho họ này, 1:66984, là sản phẩm của Cisco, và tài liệu quy tắc công khai của nó gắn nhãn mục đích sử dụng đã biết là "Attacks/Scans seen in the wild" — cách diễn đạt cứng rắn hơn so với chính tuyên bố trong bài nghiên cứu rằng chưa có xác nhận về việc triển khai ngoài thực tế. Tài liệu quy tắc mô tả những gì quy tắc cảnh báo, không phải bằng chứng về nạn nhân, và hai tuyên bố không mâu thuẫn về mặt hình thức; chúng được nhấn trọng số khác nhau. Người đọc cân nhắc phát hiện của nhà cung cấp nên dựa vào chi tiết kỹ thuật, thứ có thể kiểm chứng, thay vì cách đóng khung, thứ không thể kiểm chứng.

Những gì người phòng thủ được dặn phải tìm

Vì hạ tầng là hợp pháp, không thể chặn theo tên miền. Hướng dẫn của Talos là tương quan hành vi: không có tín hiệu đơn lẻ nào nhận diện được implant, nhưng sự kết hợp thì có. Danh sách mà Talos đưa ra là:

• Lưu lượng API đến các nhà cung cấp mô hình AI bắt nguồn từ một tệp thực thi Windows mà không có lý do nào để sử dụng một tệp như vậy

• Các yêu cầu tương tự được gửi đến nhiều nhà cung cấp trong một khoảng thời gian ngắn từ cùng một tiến trình

• Các lời nhắc chứa chi tiết máy chủ lưu trữ hoặc ngôn ngữ mô tả năng lực tấn công, chỉ hiển thị được thông qua kiểm tra TLS hoặc ở phía nhà cung cấp

• Tiêm mã vào tiến trình, truy cập bộ nhớ thông tin xác thực hoặc tạo cơ chế duy trì hiện diện mới trên cùng máy chủ

• Lưu lượng webhook Discord từ tiến trình hoặc máy chủ đó

• Việc thực thi lặp lại ở các khoảng thời gian ngẫu nhiên từ năm đến mười lăm phút

Lý do đằng sau tín hiệu đa nhà cung cấp là phần dễ áp dụng nhất của phát hiện này. Phần mềm hợp pháp cam kết với một nhà cung cấp, hoặc chuyển dự phòng sang nhà cung cấp thứ hai khi nhà cung cấp đầu tiên gặp lỗi. Phần mềm phân nhánh tới bốn nhà cung cấp và so sánh các câu trả lời đang làm một việc gì đó khác. Talos đã công bố quy tắc YARA và quy tắc Snort cùng với bài đăng, và sáu mã băm SHA-256 bao quát các bản dựng từ khoảng một tuần phát triển. The Hacker News đưa tin vào ngày 23 tháng 9 rằng tệp quy tắc đi kèm với CAIRN không tự chứa quy tắc CLOSEDQUORUM, vì vậy người dùng CAIRN phải tự thêm quy tắc của Talos bằng tay; quy tắc này được công bố trong bài đăng blog.

Việc tiết lộ thay đổi điều gì

Rất ít điều về hiện tại, và vài điều về tương lai gần. Talos thẳng thắn trong đánh giá của chính mình: CLOSEDQUORUM "được hiểu đúng nhất không phải là một mẩu phần mềm độc hại tinh vi, mà là một minh chứng rằng sự chuyển dịch kiến trúc hướng tới tự động hóa chuỗi tấn công đang đến". Các khả năng mà nó có thể kích hoạt là bộ công cụ hậu xâm nhập thông thường. Điều mới là việc lựa chọn khả năng nào để dùng tiếp theo đã được chuyển khỏi người vận hành sang một hội đồng bỏ phiếu gồm các mô hình thương mại, hoạt động bất kể có ai thức hay không.

Talos gọi đó là sự dịch chuyển nỗ lực, và đây là một khẳng định về nơi một giai đoạn của cuộc tấn công diễn ra chứ không phải về tốc độ nó chạy — người vận hành không được làm nhanh hơn, mà bị loại khỏi một quyết định. Talos lưu ý rằng cùng thiết kế đó trao cho phe phòng thủ một loạt điểm yếu để tận dụng: các nhà cung cấp từ chối, giới hạn tốc độ và trả về đầu ra dị dạng, không gian hành động chỉ rộng bốn từ, và tiêu chí phân định là có thể dự đoán. Tính tự chủ ở đây đánh đổi giới hạn của con người lấy giới hạn của mô hình và hạ tầng.

Không có gì trong hồ sơ nói rằng thứ này đã được sử dụng. Điều mà hồ sơ nói là kiến trúc đó biên dịch được, rằng ai đó đã xây dựng nó để bán, và rằng đặc điểm phân biệt của nó đủ dễ nhận ra từ bên ngoài để một người phòng thủ có thể đếm số nhà cung cấp trên mỗi tiến trình. Đó là một tuyên bố khiêm tốn hơn so với các tiêu đề, và cũng hữu ích hơn.