Cisco Talos 发现一款 Windows 植入程序，可让四个 LLM 对其下一步行动进行投票

2026 年 9 月 22 日，Cisco Talos 发布了关于 CLOSEDQUORUM 的研究。这是一种 Windows 植入程序，不会等待攻击者的指令。一旦运行，它会描述自己所入侵的机器，向最多四个商业 AI 模型——DeepSeek、Qwen、Mistral 和 Google Gemini——询问下一步该做什么，将它们的回答计为投票，并执行四种行动中得票最多的一种。Talos 称其“据我们所知，是首个公开记录在案的、将这种模式应用于战术指挥与控制的 Windows 植入程序”。同一篇文章称，Talos 尚未确认该植入程序曾被部署，并且公开流传的副本无法运行：其 API 密钥和外传数据的 webhook 都是占位符。没有记录显示任何用户受到伤害。完整记录及其来源和严重性评级收录于AI 事件档案，与其他有记录的 AI 武器发现并列。

Talos 说植入物能做什么

Talos 描述的样本是一个 16.4MB 的 64 位 Windows 可执行文件，用 Go 编写，并混入了一些 C 代码，以便直接调用 Windows 系统函数。它的新颖之处不在于载荷，而在于该植入程序没有由攻击者运营的服务器可供回连。它不使用命令与控制域名，而是使用大型语言模型提供商的 API 端点——这是成千上万个合法应用程序每天都会联系的基础设施，因此无法一经发现就封锁。

每一轮，某个例程都会收集有关主机的基本信息：主机名、Windows 版本与架构、处理器数量，以及植入程序是否以管理员权限运行。这些文本会被放入一个提示中，并逐一发送给各提供商。不会要求模型输出散文。Talos 从二进制文件中提取了系统提示，并引用如下：“你是一名高级恶意软件策略师。仅提供可执行决策。”每个回复都必须反序列化为一个类型化结构，其 decision 字段须指定四种操作之一，否则该回复会被丢弃。

这四个动作会路由到由人工编写并编译进二进制文件的能力模块。steal会同时运行三个收集例程：转储 Windows 凭据内存、已保存的浏览器密码以及加密货币钱包文件。inject在另一个进程内运行代码。persist安排植入程序自行重新启动。move这一横向移动选项，在 Talos 检查的该构建版本中根本没有对应的处理程序——模型可以为其投票，但什么也不会发生。

获胜决策在执行之前会被发布到 Discord webhook，因此操作员能实时看到面板的选择及其陈述的理由出现在聊天频道中。窃取的材料会被发送到同一频道，并用由当前日期派生出的密钥加密。Talos 对此选择作出了尖锐解读：由于开发者总是知道日期，所以这“只是混淆，而非开发者与操作员之间真正的机密性隔离”。

什么是已确立的，什么不是

Talos 对这条界线异常明确，而且值得把这两部分放在一起看。静态分析所确立的是决策循环本身：提供方列表、查询顺序、票数统计、类型化回复，以及从获胜词到能力的路由。二进制文件未被剥离符号，因此执行这些工作的函数名在文件中可读。开发构建显示，提供方凭据是在编译时写入的。

尚未证实的是，其中任何部分是否曾在真实机器上运行过完整周期。Talos 表示，公开分发版本是“一个惰性模板”：每个模型 API 密钥都初始化为占位符字符串，webhook 初始化为一个虚拟地址，且该二进制文件“按分发状态无法运行”。Talos 称其“未观察到该架构的完整端到端执行”。它还在文章开头段落中表示，自己无法确认该架构已在真实环境中部署。

Talos在代码之外确实发现了某种归因线索。二进制文件中的痕迹将该开发者与犯罪论坛上关于carding（盗用支付卡数据交易）的帖子联系起来，这些帖子可追溯至2025年。该帖未点名开发者，也未证实开发者曾使用该工具发动攻击。Talos反而评估认为，这东西是一款产品：开发者为每位客户编译一个定制可执行文件，其中内置该客户的API密钥和webhook，而投放由客户自行负责。Talos将这种可能的模式称为“凭证即服务”（credentials-as-a-service），其卖点是编排层。

在这份记录中，没有任何受害者、任何活动或任何部署被记录在任何地方。档案将这一条目归类为研究发现，而非部署事件，且未记录到实际伤害——这是关于已有记录内容的陈述，而不是声称什么都没发生。

削弱“quorum”一词含义的平局决胜规则

这个名字让人联想到四个模型反复商议，直到达成一致的画面。其实现方式比这更宽松。胜者由相对多数而非绝对多数决定：被最多模型选中的决定获胜，即使那只是在四票分散于四个选项时的一票。并不要求达成一致。

平局无需再次询问任何人即可裁定。Talos 将计数循环描述为完全确定性的，并且偏向 DeepSeek：首先查询 DeepSeek，比较会保留第一个达到最高计数的决定，因此 DeepSeek 的投票在所有平局中都起决定作用。如果 DeepSeek 不可用，Qwen 会继承决定票，然后是 Mistral，再是 Gemini。知道哪些提供商作出了回答的防御者，无需阅读任何一条模型回复，就能预测出现分歧时的结果。

还有第二个更不显眼的设计事实。如果每个模型都拒绝、超时或返回格式错误的输出，回退并不是默认动作。Talos 说，回退决策是一个没有匹配处理程序的字符串，因此循环会休眠并重试。该植入程序的设计是宁可什么都不做，也不去猜测。

“first”这个词在那个句子里起什么作用？

塔洛斯（Talos）的说法比大多数报道所暗示的范围要窄，而这种收窄很重要。该公司称这是“首个有公开记录的、将这一模型应用于战术指挥与控制的 Windows 植入体”——并非首个 AI 恶意软件，也不是首个使用语言模型的恶意软件。真正被主张为新东西的，是这种委托的形态：将多家商业供应商作为一个冗余的决策小组来征询，由其在受感染主机上选择战术。

这一说法一直存在争议，而争论的焦点在于表述，而非技术发现。分析师 P.K. Sharma 同日发布的一份独立简报检验了这一说法，并得出结论：狭义的架构主张与公开记录相符，而“认为这是 AI 驱动恶意软件首次亮相的更宽泛印象则不成立”——并指出早先的公开案例中，恶意软件在运行时查询语言模型，其中最明确的是 LameHug，乌克兰 CERT-UA 于 2025 年 7 月报告了该案例，它使用模型生成随后运行的命令。按这种解读，2026 年 9 月发生变化的是，模型选择的是战术，而不是编写命令。

报道本身也受到了同样的对待。9 月 23 日，媒体 On the Wire 指出，大多数行业报道都将 Talos 的发现与 Talos 的限定说明放在一起，但“一则被广泛阅读的标题却没有”，并特别指出一则标题，该标题声称 AI 恶意软件已将人类从攻击循环中移除，而这一说法缺乏其背后研究的支持。10 月 7 日发布在 Zenodo 上的一篇检测工程论文用一句话划定了同样的界限：“每一项主张都是关于设计的，而不是关于实际入侵的。”

这些批评者中没有人质疑二进制文件内部的内容。档案同样没有将该条目记录为存在争议。分歧在于，一项从未被看到运行过的已编译能力，应当被允许暗示多少内容。

发现该问题的公司也出售修复方案。

披露中有一个细节值得直说。CLOSEDQUORUM 是通过 CAIRN 浮出水面的，后者是 Talos 自己用于搜寻 AI 集成恶意软件的开源工具包，与前者在同一天发布。Talos 是 Cisco 的一个部门，而 Cisco 销售应对此类威胁的网络和终端产品。针对该家族发布的 Snort 规则 1:66984 是 Cisco 产品，其公开规则文档将已知使用情况标注为“Attacks/Scans seen in the wild”——这比研究文章本身所称“没有确认存在野外部署”的措辞更肯定。规则文档描述的是该规则会对什么发出告警，而非受害者证据，因此这两种说法在形式上并不矛盾；只是权重不同。读者在权衡厂商发现时，应倚重可核查的技术细节，而非无法核查的表述框架。

防守方被告知要留意什么

由于该基础设施是合法的，因此无法使用域名封禁。Talos 的指导是进行行为关联分析：没有任何单一信号能识别该植入程序，但多种信号组合起来可以做到。Talos 给出的列表是：

• 来自某个 Windows 可执行文件的、发往 AI 模型提供商的 API 流量，而该可执行文件完全没有理由使用此类服务

• 同一进程在短时间内向多个提供商发送的类似请求

• 携带主机详细信息或攻击性能力表述的提示，仅在通过 TLS 检查时或在提供商侧可见

• 在同一主机上进行进程注入、访问凭据内存或建立新的持久化

• 来自该进程或主机的 Discord webhook 流量

• 以五到十五分钟的随机间隔重复执行

多提供商信号背后的推理是该发现中最具可迁移性的部分。合法软件会固定使用一个提供商，或在第一个提供商出错时故障转移到第二个。向四个提供商分发请求并比较答案的软件则是在做别的事情。Talos 在该文章发布的同时发布了 YARA 规则和 Snort 规则，以及覆盖大约一周开发构建的六个 SHA-256 哈希。《The Hacker News》9月23日报道称，CAIRN 随附的规则文件本身并不包含 CLOSEDQUORUM 规则，因此 CAIRN 用户不得不手动添加 Talos 的规则；该规则已发布在博客文章中。

披露改变了什么

关于当下的内容很少，倒是对近未来有所提及。Talos 在其自身评估中直言不讳：CLOSEDQUORUM “最好别被理解为一款复杂的恶意软件，而应被理解为一种示范：朝向攻击链自动化的架构转变正在到来”。它能触发的那些能力都是普通的攻陷后工具。真正的新之处在于，下一步使用哪项能力的选择，已经从操作员转移到一个由商用模型组成的投票面板上，而且无论有没有人醒着，它都在运行。

Talos 对此的说法是“工作量转移”，它主张的是攻击的某一阶段存在于何处，而不是它运行得多快——操作员并没有变得更快，而是被从某项决策中移除了。Talos 指出，同样的设计也给防御者留下了一组可利用的弱点：提供商拒绝、限流并返回格式错误的输出，动作空间只有四个词宽，而且平局决胜是可预测的。在这里，自主性以模型和基础设施的限制取代了人的限制。

记录中没有任何内容表明这东西曾被使用过。它所说的是：该架构能够编译通过，有人把它构建出来用于销售，而且其区别性特征从外部看足够清晰，以至于防御者可以按进程统计提供者数量。这个说法比新闻标题所宣称的要小，但也更有用。