Cisco Talos 發現一款 Windows 植入程式，可讓四個 LLM 投票決定其下一步行動。

2026 年 9 月 22 日，Cisco Talos 發表了關於 CLOSEDQUORUM 的研究；這是一種不等候攻擊者下達指令的 Windows 植入程式。它一旦開始執行，就會描述自己所落腳的機器，向最多四個商用 AI 模型詢問下一步該怎麼做——DeepSeek、Qwen、Mistral 與 Google Gemini——再將它們的回答計為投票，並執行四項行動中勝出的那一項。Talos 稱其為「就我們所知，首個公開記錄、將此模式應用於戰術指揮與控制的 Windows 植入程式」。同一篇文章指出，Talos 並未確認該植入程式是否曾實際部署，且公開流傳的版本無法運作：其 API 金鑰與外傳 webhook 都是佔位符。目前沒有任何使用者受害的紀錄。完整紀錄（含其來源與嚴重性分級）收錄於AI 事件檔案庫，與其他已記錄的 AI 武器發現並列

Talos 表示該植入物的功能為何

Talos 描述的樣本是一個 16.4MB、64 位元的 Windows 可執行檔，以 Go 撰寫，並混入一些 C，以便直接呼叫 Windows 系統函式。其新穎之處不在於酬載，而在於這個植入程式沒有攻擊者營運的伺服器可供回連。它不使用命令與控制網域，而是使用大型語言模型供應商的 API 端點——這是數千個合法應用程式每天都會連線的基礎設施，因此無法一看到就封鎖。

每個週期，一個常式會收集主機的基本資訊：其名稱、Windows 版本與架構、處理器數量，以及植入程式是否以系統管理員權限執行。該文字會放入提示中，並一次傳送給一個提供者。模型不會被要求提供散文。Talos 從二進位檔中擷取系統提示並引用如下：「你是進階惡意軟體策略師。僅提供可執行的決策。」每個回覆都必須反序列化為具型別結構，其決策欄位須指名四種動作之一，否則就會被丟棄。

這四個動作會路由到由人工撰寫並編譯進二進位檔的能力模組。 steal 會同時執行三個收集常式：傾印 Windows 認證記憶體、已儲存的瀏覽器密碼，以及加密貨幣錢包檔案。 inject 會在另一個處理程序中執行程式碼。 persist 會安排植入程式自行重新啟動。 move 這個橫向移動選項，在 Talos 所檢視的版本中根本沒有處理常式——模型可以投票選擇它，卻什麼也不會發生。

勝出決策會在執行前發布到 Discord webhook，因此操作員能即時在聊天頻道中看到面板的選擇及其所述理由送達。竊得的資料會送往同一頻道，並以由當前日期衍生出的金鑰加密。Talos 嚴厲解讀這項選擇：因為開發者永遠知道日期，所以這是「混淆，而非開發者與操作員之間真正的機密性區隔」。

什麼是已經確立的，什麼不是

Talos 對這條界線異常明確，值得把這兩個部分放在一起來看。靜態分析所確立的是決策迴圈本身：提供者清單、查詢順序、投票計數、具型別的回覆，以及從勝出字詞到能力的路由。該二進位檔並未被 strip，因此執行這項工作的函式名稱在檔案中仍可讀取。開發版建置顯示提供者憑證是在編譯時寫入的。

尚未確立的是，其中任何部分是否曾在真實機器上跑過完整週期。Talos 表示，公開散布版建置是「一個無作用的範本」：每個模型 API 金鑰都初始化為佔位字串，webhook 初始化為虛設位址，且該二進位檔「按散布狀態而言無法運作」。Talos 表示，它「並未觀察到該架構的完整端到端執行」。它也在文章開頭段落中表示，尚未確認有實際環境中的部署。

Talos 在程式碼之外確實找到的，是某種形式的歸因。二進位檔中的痕跡將該開發者與犯罪論壇上關於信用卡盜刷（即遭竊支付卡資料交易）的貼文連結起來，這些貼文可追溯至 2025 年。該貼文並未指名該開發者，也未證實該開發者曾使用該工具發動攻擊。Talos 反而評估這是一項產品：開發者會為每位客戶編譯經過客製化的可執行檔，並內建該客戶的 API 金鑰與 webhook，再由客戶負責交付。Talos 稱這種可能模式為「credentials-as-a-service」，其賣點在於編排層。

在這份資料中，任何地方都沒有記錄到受害者、攻擊活動或部署。該檔案將此條目歸類為研究發現，而非部署事件，且未記錄到任何實際損害——這是對已記錄內容的陳述，而非宣稱什麼事都沒發生。

削弱「quorum」一詞的平局決勝機制

這個名稱讓人聯想到四種模型反覆商議、直到彼此達成共識的畫面。實際的實作比這寬鬆得多。贏家是以相對多數、而非絕對多數決定：被最多模型指名的決策勝出，即使那只是四種意見各據一方時的一票。並不需要取得共識。

平票的解決不會再詢問任何人。Talos 將計數迴圈描述為完全確定性，且偏向 DeepSeek：DeepSeek 會最先被查詢，比較時會保留最先達到最高票數的決定，因此 DeepSeek 的票會在每次平票時起決定作用。若 DeepSeek 無法使用，Qwen 會繼承決定性一票，接著是 Mistral，然後是 Gemini。只要防禦者知道哪些供應商做出了回應，就能預測分歧的結果，而無須閱讀任何一則模型回覆。

還有第二個更隱晦的設計事實。如果每個模型都拒絕、逾時，或回傳格式錯誤的輸出，備援方案並不是採取預設動作。Talos 表示，備援決策是一個找不到對應處理常式的字串，因此迴圈會進入休眠並重試。這支植入程式被設計成寧可什麼都不做，也不去猜測。

「first」這個字在那句話裡的作用是什麼？

Talos 的說法比大多數報導所暗示的範圍更窄，而這種收窄很重要。該公司表示，這是「第一個公開記錄、將此模式套用於戰術指揮與控制的 Windows 植入程式」——不是第一個 AI 惡意軟體，也不是第一個使用語言模型的惡意軟體。被主張為新穎之處的是委派的形式：向多家商業供應商徵詢，作為冗餘的決策小組，在受感染主機上選擇戰術。

那種說法一直有爭議，而爭論在於呈現方式，而非技術發現。分析師 P.K. Sharma 同日發表的一份獨立簡報檢驗了這項主張，並得出結論：狹義的架構主張對照公開紀錄站得住腳，但「這是 AI 驅動惡意軟體首次亮相」這種更廣泛的印象則不成立——該簡報指出先前的公開案例，其中惡意軟體在執行時查詢語言模型，最明顯的是 LameHug；烏克蘭 CERT-UA 於 2025 年 7 月通報了該案例，而它使用模型生成隨後執行的命令。按照這種解讀，2026 年 9 月改變的是，模型選擇戰術，而不是撰寫命令。

報導本身也受到同樣的對待。9 月 23 日，媒體 On the Wire 指出，大多數業界報導都把 Talos 的發現與 Talos 的但書放在一起，但「有一則廣為流傳的標題卻沒有」，並特別點出一則標題，該標題宣稱 AI 惡意軟體已將人類從攻擊循環中移除，而這項說法並未獲得其背後研究的支持。10 月 7 日發布於 Zenodo 的一篇偵測工程論文用一句話表達了同樣的限制：「每一項主張都是關於設計的主張，而不是關於系統淪陷的主張。」

這些批評者中沒有人質疑二進位檔內部有什麼。檔案庫同樣沒有將該條目記錄為有爭議。分歧在於：一項從未見過實際運作的已編譯能力，應該被允許暗示到什麼程度。

發現它的公司也販售修補方案

披露內容中有一個細節值得明白說出。CLOSEDQUORUM 是透過 CAIRN 浮現的；CAIRN 是 Talos 自家、用於追獵整合 AI 之惡意軟體的開源工具包，Talos 同日發布。Talos 是 Cisco 的一個部門，而 Cisco 銷售可因應此類威脅的網路與端點產品。針對該家族發布的 Snort 規則 1:66984 是 Cisco 的產品，其公開規則文件將已知用途標示為「Attacks/Scans seen in the wild」——這比研究貼文自身所稱、尚無確認在野部署的說法更為強硬。規則文件描述的是該規則會對什麼發出警示，而非受害者的證據；這兩種說法在形式上並不矛盾，只是權重不同。讀者在衡量廠商的發現時，應倚重可受查核的技術細節，而非無法查核的表述框架。

防禦人員被告知要留意什麼

由於基礎設施是合法的，因此無法使用網域封鎖。Talos 的指引是行為關聯：沒有任何單一訊號能識別該植入程式，但組合起來就可以。Talos 提供的清單是：

• 來自 Windows 可執行檔的 API 流量，且該執行檔根本沒有理由使用 AI 模型供應商

• 從同一處理程序在短時間內傳送給多個供應商的類似請求

• 包含主機詳細資訊或攻擊能力相關措辭的提示，僅能透過 TLS 檢查或在供應商端看見

• 行程注入、認證記憶體存取，或同一主機上出現新的持續性機制

• 來自該處理程序或主機的 Discord webhook 流量

• 以五至十五分鐘的隨機間隔重複執行

多供應商訊號背後的推理是這項發現中最具可轉移性的部分。合法軟體會固定使用單一供應商，或在第一個供應商出錯時容錯切換到第二個。會向四個供應商分送請求並比對答案的軟體，就是在做別的事。Talos 在文章發布的同時公布了 YARA 規則與 Snort 規則，以及六個 SHA-256 雜湊值，涵蓋大約一週開發期間的建置版本。The Hacker News 於 9 月 23 日報導，隨 CAIRN 出貨的規則檔本身並未包含 CLOSEDQUORUM 規則，因此 CAIRN 使用者必須手動加入 Talos 的規則；該規則已發布於部落格文章中。

揭露內容改變了什麼

關於現在，幾乎沒什麼可說；關於不久的將來，則有一些。Talos 在其自身評估中直言不諱：CLOSEDQUORUM「最好理解為一種示範，證明朝向攻擊鏈自動化的架構轉變即將到來，而非一款精巧的惡意軟體」。它能觸發的能力都是尋常的入侵後工具。新穎之處在於，下一步該使用哪種能力的選擇，已從操作員轉移到由商業模型組成的投票小組身上，而且無論有沒有人醒著，這個小組都在運作。

Talos 對這件事的說法是「effort displacement」，而這是一項關於攻擊某個階段存在於何處、而非其執行速度有多快的主張——操作者並非變得更快，而是被移出了某項決策。Talos 指出，同樣的設計也給了防禦方一組可著力的弱點：供應商會拒絕、限流並回傳格式錯誤的輸出，動作空間只有四個詞那麼寬，而平局決勝規則是可以預測的。此處的自主性，是用人類的極限換取模型與基礎設施的極限。

紀錄裡沒有任何一處說這東西曾被使用過。它說的是：這套架構能編譯、有人把它做出來賣，而且那項區別性特徵從外部就清楚可辨，讓防禦者能按行程計數提供者。這比新聞標題所宣稱的範圍更小，卻也更有用。