CLOSEDQUORUM: Empat Model AI Undi Langkah Serangan

CLOSEDQUORUM Biar Empat Model AI Buat Keputusan

Kebanyakan trojan Windows ada siluet yang sama: ia menghubungi server command-and-control milik penyerang, dan seorang operator manusia yang menentukan apa yang berlaku seterusnya. Cisco Talos menerbitkan analisis pada 22 September 2026 tentang satu implant yang dibina untuk membuang server itu — dan operator itu — sepenuhnya. CLOSEDQUORUM bertanya kepada sehingga empat model AI komersial apa yang patut dilakukannya, mengira undian mereka, lalu bertindak berdasarkan hasilnya.

Talos menjumpai binary ini dengan CAIRN (Cognitive Artifact Intelligence Research Network), toolkit open-source untuk memburu malware yang diintegrasikan dengan AI, diterbitkan pada hari yang sama. Setakat pengetahuan Talos, ini implant Windows pertama yang didokumenkan secara awam dengan keputusan taktikal C2 diserahkan kepada panel LLM.

Kuorum: empat provider, sifar manusia

CLOSEDQUORUM ialah executable Windows 64-bit bersaiz 16.4 MB yang ditulis dalam Go. Setelah di-deploy, ia berhenti menunggu arahan. Sebuah ModelOrchestrator menghubungi sehingga empat LLM provider secara berurutan — DeepSeek, Qwen, Mistral dan Google Gemini — menghantar setiap satu konteks mesin serta senarai tindakan yang tetap. Respons dikumpul sebagai satu set keputusan dan diselesaikan oleh interModelDiscussion().

Model-model itu tidak bebas menjawab sesuka hati. Setiap respons mesti selaras dengan skema JSON yang ditetapkan — system prompt yang diekstrak daripada binary berbunyi "You are an advanced malware strategist. Provide ONLY executable decisions." Respons yang tidak padan dengan mana-mana aksi yang diketahui terus dibuang. Ini versi ringkas proses pengagregatan:

type LLMDecision struct {
    Decision  string // "steal" | "inject" | "persist" | "move"
    Reasoning string
}

// one vote per provider; highest count wins
votes := map[string]int{}
for _, d := range decisions {
    votes[d.Decision]++
}
winner := ""
for _, d := range decisions { // first maximum wins — deterministic tie-break
    if votes[d.Decision] > votes[winner] { winner = d.Decision }
}

Kalau tiada model memberi jawapan yang boleh digunakan, gelung jatuh kepada string consensus yang tiada handler — maksudnya ia tidur dan cuba semula, bukan memilih aksi secara default. Di sini terletak reka bentuk keseluruhan projek: gabungkan beberapa model untuk mengelak refusal individu, rate limit dan guardrail, tetapi jangan sekali-kali bertindak atas isyarat yang tidak boleh dipercayai secara struktur.

Seri diselesaikan dengan susunan keutamaan yang tetap: DeepSeek, kemudian Qwen, kemudian Mistral, kemudian Gemini. Gelung carian-maksimum berjalan mengikut urutan penghantaran, jadi maksimum yang pertama ditemui yang menang. DeepSeek memegang undi penentu setiap kali ia berada dalam kuorum.

Pilihan yang diberikan kepada model

Sebelum setiap kitaran, gatherSystemInfo() menangkap hostname, architecture OS, kiraan CPU, versi Windows dan status admin sebagai konteks TARGET: yang dimasukkan ke dalam setiap prompt. Empat kemampuan berada di sebalik undian:

• steal — menjalankan tiga perkara serentak: buang memori LSASS (kredential log masuk Windows), salin kata laluan tersimpan daripada Chrome, Edge dan Firefox, serta tarik data MetaMask, Exodus dan wallet Ethereum.
• inject — jana shellcode dan mulakan proses dalam keadaan suspended. Default ialah Early Bird APC injection; kalau model memilih process_hollow, ia bertukar kepada process hollowing pula.
• persist — tiga mekanisme serentak: nilai di bawah Registry Run key pengguna, satu scheduled task, dan satu permanent WMI event subscription yang menghidupkan semula payload setiap 60 saat. Nama Registry dan WMI diolah bertema Windows Update supaya nampak seperti aktiviti sistem biasa.
• move — tiada kod di belakangnya dalam build awam. Memilihnya tidak melakukan apa-apa.

Bahan curian disulitkan dengan AES-256-GCM menggunakan kunci yang diterbitkan daripada tarikh semasa, dipecahkan kepada kepingan 1,900-bait, dan dihantar satu keping setiap saat ke saluran Discord melalui webhook. Aksi yang dipilih model serta sebab di sebaliknya dihantar ke saluran yang sama — operator menonton keputusan AI itu secara langsung.

Build yang lengai, model operasi yang nyata

Talos belum melihat CLOSEDQUORUM berfungsi dari awal hingga akhir, dan build edaran awam adalah tidak berfungsi: semua API key diinisialisasi kepada dummy_api_key dan webhook kepada dummy_webhook_url, jadi ia tidak boleh sampai ke model mahupun keluar dengan data.

Apa yang ditunjukkan oleh build pembangunan ialah model operasi yang dirancang: developer menghasilkan executable tersuai untuk setiap operator, menyuntik webhook Discord dan LLM API key operator itu pada masa kompilasi. Operator menerima binary itu dan tidak perlu kekal online — panel LLM yang menjalankan kempen. Talos menyifatkannya sebagai model credentials-as-a-service di mana yang membezakannya ialah lapisan orkestrasi AI yang autonomi. Analisis statik bertarikh 17 Jun 2026, menjadikan kod itu sekurang-kurangnya tiga bulan usianya, dan kesan dalam kod mengaitkan developernya dengan forum jenayah berkaitan carding sejak 2025. Setakat ini tiada pengesahan deployment di dunia nyata.

Apa yang AI itu sebenarnya ubah

Malware berbantu AI bukan perkara baharu — LAMEHUG, yang dilaporkan CERT-UA Ukraine pada Julai 2025, meminta model menulis command untuk tugasan yang ditetapkan dalam kodnya. CLOSEDQUORUM naik satu tahap: model tidak lagi menulis arahan dalam senarai tugasan yang sedia ada, ia memilih tugasan itu sendiri. Daripada satu server C2 milik penyerang — domain, IP, protokol dan listener yang boleh dikesan, disekat dan mahal untuk diputar — implant ini menghubungi sehingga empat endpoint LLM komersial yang digunakan oleh ribuan aplikasi sah setiap hari. Talos memanggil peralihan ini effort displacement: keseluruhan fasa serangan dipindahkan daripada operator manusia kepada sistem, dan operasi itu tidak lagi memerlukan penyerang terjaga atau berhubung.

Reka bentuk yang sama juga mencipta titik lemahnya. Provider boleh menolak permintaan, mengehadkan jumlah soalan yang dijawab, atau mengembalikan output yang cacat. Skema keputusan sengaja dibuat kecil. Tie-break boleh diramal. Seluruh implant pula bergantung pada akses API komersial yang bukan dalam kawalan developer. Autonomi menukar keterbatasan manusia dengan keterbatasan model dan infrastruktur — dan di situ sebenarnya tempat defender patut menumpukan perhatian.

Cara untuk mengesannya

Nasihat pengesanan Talos berfokus pada kelakuan, bukan penyekatan domain. Sekat api.deepseek.com atau Discord memang sia-sia — software sah pun bercakap dengan kedua-duanya. Perhatian hendaklah pada kombinasi:

• Trafik API AI daripada sebuah executable Windows yang tidak wajar menggunakan AI
• Permintaan serupa kepada beberapa AI provider dalam tempoh singkat
• Akses LSASS, process injection atau persistence baharu di sebelah trafik itu
• Trafik Discord webhook daripada proses atau mesin yang sama
• Aktiviti yang berulang pada selang rawak 5–15 minit

Talos menerbitkan Snort rule (1:66984) yang memadankan prompt implant itu — walaupun prompt itu hanya kelihatan di bawah TLS inspection, jadi rule itu lazimnya memerlukan trafik didekripsi untuk berfungsi — serta satu YARA rule dan enam SHA-256 hash daripada siri build selama tujuh hari. CAIRN sendiri direka supaya penganalisis dan agent workflow boleh memburu LLM endpoint, tool-call syntax dan string evasion dalam metadata tanpa memuat turun sampel langsung — tetapi setiap penemuan tetap perlu pengesahan reverse engineering secara manual.

Seperti yang Talos katakan, ini contoh awal dan terhad. Ia juga demonstrasi konkrit bahawa mengeluarkan operator daripada satu fasa serangan yang terbatas memang boleh dilakukan dengan model sedia ada dan akses API biasa. Scaffolding yang sama — kodkan satu ruang keputusan, hantar ke panel model, terus ubah output berstruktur menjadi pelaksanaan — boleh dipindahkan terus kepada objektif musuh yang lain, jadi peluang untuk membina pengesanan berasaskan kelakuan terbuka sekarang. Sudah tiga bulan ia wujud; peluang itu tidak akan kekal selamanya. Untuk lebih banyak kisah AI yang menyusup masuk ke rantaian serangan, lihat macam mana malware RatHat guna AI untuk kawal peranti Android.

Sumber

• Cisco Talos: The Closed Quorum: Inside the first reported autonomous AI C2 implant
• Cisco Talos: Introducing CAIRN: Frontier tracking for AI-integrated malware
• The Hacker News: This Windows Malware is Built to Let Up to Four AI Models Vote on Its Next Move
• Cisco Talos: Cisco-Talos/Cognitive-Artifact-Intelligence-Research-Network
• Cisco Talos: Snort rule 1-66984 — CLOSEDQUORUM