Cisco Talos 于 9 月 22 日披露一款名为 CLOSEDQUORUM 的 Windows 植入程序，称其为目前已知首个公开记录的、使用大模型承担指挥控制决策的 Windows 植入。该恶意软件不再依赖攻击者控制的 C2 服务器，而是把 DeepSeek、Qwen、Mistral 与 Gemini 当作投票委员会，由模型自行决定下一步执行窃密、代码注入还是持久化。
事件概述
样本是一个 16.4MB 的 64 位 Go 语言可执行文件。部署后先静默 5 分钟以规避短时效沙箱，随后采集主机上下文：主机名、系统版本、CPU 核数、是否具备管理员权限与运行中的进程列表。这份上下文被打包发往多家大模型服务，由模型返回结构化 JSON 判决，二进制程序统计票数并执行得票最多的动作。
Talos 在公开样本中提取到系统提示词，把模型定位为「高级恶意软件策略师」，要求只输出可执行决策。可选动作被限制在预设范围内：steal 会转储 LSASS 内存获取 Windows 凭据、抓取浏览器保存的密码，并提取 MetaMask 等加密货币钱包数据；inject 生成 shellcode 并通过进程镂空或 Early Bird 注入执行；persist 通过注册表 Run 键、计划任务或永久 WMI 事件订阅建立持久化。整套循环按 5 到 15 分钟随机间隔执行，平票时优先级依次为 DeepSeek、Qwen、Mistral、Gemini。
技术细节
失窃数据的回传通道同样是合法服务：数据先用 AES-256-GCM 加密并做 base64 编码，再通过 Discord webhook 送往攻击者频道，密钥按天轮换并由消息时间戳推导。研究人员判断开发者采用按操作员定制编译的模式，在编译期把操作员的 Discord webhook 与模型 API 密钥注入二进制文件。
这种架构令域名封堵基本失效：传统指挥控制依赖攻击者服务器，打掉服务器即可切断恶意软件，而 CLOSEDQUORUM 的指挥控制在四家模型服务之间分散，恶意流量与合法 API 流量在链路层无法区分。恶意决策逻辑不在二进制里，而是运行期外包给第三方模型，静态特征面随之消失。
影响评估
Talos 未观察到该样本被实际部署，Unit 42 在 8 月报告中也指出 AI 恶意软件领域目前仍以未进入生产环境的验证性代码为主。但它仍是一份可用模板：四模型投票、认知痕迹规避与滥用云服务的思路都会被复制。Talos 研究者 Ryan Fetterman 在开发 CAIRN 工具时还识别出约 20 个 AI 集成型恶意软件样本。下一步演进方向可循：改用本地模型，届时既无出站 AI 流量可标记，二进制里也不再有 API 密钥字符串。
修复建议
- 用行为组合而非单一指标检测。合法的 DeepSeek、Mistral、Gemini、Discord 连接各自都不构成告警，但同时连接多家模型服务、又访问 LSASS、向挂起进程注入并创建 WMI 持久化的进程几乎不存在。
- 收紧出站访问，只允许经批准的应用访问 AI 服务与 Discord webhook；用 WDAC 或 AppLocker 限制非信任代码执行。
- 加固凭据保护：启用 Credential Guard 与 LSA 保护，减少普通终端上的本地管理员权限。
- 监控持久化与遥测篡改：对异常的 Run 键、永久 WMI 订阅与计划任务告警。
- 可部署 Talos 同日开源的 CAIRN 工具，它基于硬编码提示词模板、模型 API 端点与编排逻辑等认知痕迹，在 VirusTotal 元数据层面发现同类样本，无需下载或执行二进制。