没人下令：恶意软件让四个AI投票决定攻击

一个 16.4MB 的 Windows 程序，没有一行攻击指令来自人。它每隔 5 到 15 分钟把宿主机信息发给四个商业大模型，让它们投票决定下一步：偷凭证、注入代码、还是先给自己留个后门。9 月 22 日，思科 Talos 把样本公开了，名字叫 CLOSEDQUORUM，直译是"闭门表决"。

它是目前公开可查的第一个把战术指挥权交给模型面板的 Windows 植入体。

它值得写，不是因为它有多厉害，而是因为它把攻击链里的一段决策，从人手里搬到了模型手里。这一篇拆三件事：决策环怎么跑、这条路为什么对攻击者更省事、真正的检测信号在哪。

先摆事实：它没被用起来，但架构是真的

Talos 的报告写得很克制：没有证据表明这个样本在真实环境里被使用过。公开分发的版本是惰性模板，大模型接口密钥是 dummy_api_key，回传地址是 dummy_webhook_url，编译出来根本跑不通。

证据来自 6 个样本，覆盖开发者构建链大约一周时间。二进制里的痕迹把开发者关联到一个 2025 年起在犯罪论坛发卡类帖子的账号。Talos 的判断是"凭证即服务"：开发者按客户需求编译程序，交付和投送由买家自己负责。

这两句话划出了边界：现在有的是架构演示，不是已经发生的攻击。但架构本身已经走通到能被静态分析完整还原的程度。决策循环、提示模板、票数统计、模块路由，全部在反编译视图里摊开。

它把大模型当成了指挥服务器

传统 C2 需要一个域名、一个 IP、一个监听器，还得攻击者自己运维。这套基础设施可归因、可封锁、轮换成本高：情报源会公示 C2 地址，证书透明度日志会在域名被用之前就把它暴露出来。

CLOSEDQUORUM 换了个思路。它不连自己的服务器，它连 DeepSeek、Qwen、Mistral、Google Gemini 的公开 API 端点。这些域名每天被成千上万个正常应用访问，按域名封它，等于同时得罪一批正常业务。

一句话说清：它把指挥通道寄生在商业大模型的 API 里。

拆开看，它做的是一件更窄的事，把决策压缩成选择题。模型不是自由发挥的黑客，系统提示词里写得明白："You are an advanced malware strategist. Provide ONLY executable decisions." 返回必须匹配固定的 JSON 结构，Decision 字段只能取四个值，依次路由到四个能力模块。取不到合法值，这条回复直接被丢掉。

放到场景里：一台笔记本上的程序启动，读取主机名、系统版本、CPU 核数、有没有管理员权限，把这些拼进提示词发出去；模型回一个 JSON；程序照着 JSON 去执行。整个过程里，没有一行"该做什么"的代码是提前写死的。

四个模型"投票"的真实机制

四家供应商由 ModelOrchestrator 逐个顺序查询，返回值聚合成一个决策切片，再交给 interModelDiscussion() 收敛成唯一动作。每个模型的 Decision 值累加进一个计数器，票数最高的动作获胜。

这里有几个细节，比"AI 投票"这个说法本身有信息量。

第一，是相对多数，不是过半数。四个动作四张票，两张就可能胜出。

第二，平票的处理是写死的顺序：DeepSeek、Qwen、Mistral、Gemini。实现上的循环取第一个最大值，用的是严格小于号比较，所以结果确定性地偏向第一个供应商。DeepSeek 在这套架构里握着决胜票，但它没有"站队"，只是代码里排在前面。

第三，四家模型的主要价值是可用性冗余。某一个拒答、超时、返回格式错误，剩下的仍有机会凑出一个可执行决定。如果全都失败，兜底值是一个叫 consensus 的字符串，没有对应的能力处理器，循环睡一会儿重试，而不是随便挑个动作执行。

所以"四个 AI 独立裁决"这个描述并不准确。它们拿到同一段主机上下文、同一个角色设定、同一套输出格式，独立性有限。多模型在这里提升的是"能不能拿到一个可执行答案"，不是"答案对不对"。

常见误区纠偏：三个最容易被讲错的地方

误区一：AI 已经能自己发动网络攻击了。

这个说法有一定道理，因为确实存在一个没有操作者下达指令的决策环。但它解释不了投送和权限获取：程序怎么进到目标机器上、拿不拿到管理员权限、选哪个目标下手，仍然要人来做。被转移的是决策这一段，不是整条链。再加上公开版跑不通、没有野外确认，说"AI 已经自主攻击"是拿架构演示当战报。

更准确的理解是：有界的一小段战术选择，从人手里挪到了模型手里。

误区二：四个模型被越狱了。

有道理的地方在于，提示词确实让它扮演"高级恶意软件策略师"。但它解释不了这件事的实际性质：这里没有从模型身上撬出什么新能力，只是把它约束在给定选项里选一个，输出是枚举值，不是攻击代码。换掉这批模型，程序照样能让另一批模型替它选一次。

更准确的理解是：这是 API 滥用和提示词工程的问题，属于服务条款与滥用治理的范围，不是安全对齐被攻破。

误区三：多模型投票等于更聪明、更可靠。

冗余确实降低了单点拒答和超时的影响，这一点站得住。但它解释不了质量：票数统计不校验决策是否正确，平票靠写死的顺序解决，全部失败就空转重试。这是一套容错工程，不是群体智能。

真正变的不是速度，是活儿从人身上挪走了

Talos 用了"effort displacement"这个词。过去两年 AI 在攻击侧主要帮两件事：速度和规模。写钓鱼邮件更快，改恶意代码变种更省力。这两件事都真实存在，但操作者始终在场，选目标、下指令、盯执行。

这次挪走的是整段相位。人的瓶颈是注意力、工作时间和认知负荷；面板每 5 到 15 分钟在线一次，攻击者睡觉的时候它还在跑。

它同时改变了成本结构。攻击者不再需要运维 C2 基础设施，不用买域名、不用换 IP、不用对抗情报源的 C2 名单追踪。分发方式是按客户编译：开发者在编译期把买家的回传地址和模型密钥注入二进制，窃取到的凭据经 AES-256-GCM 加密后以 base64 塞进买家的 Discord 频道。

密钥由当天日期派生，按日轮换，看上去挺讲究。但这是对称密钥，知道日期的开发者理论上也能解开买家的战利品。它是混淆，不是真正的权属隔离。

对防守方来说，最直接的后果是 IOC 的位置变了。过去盯域名和 IP，现在对手根本不在自己那台服务器上，交易和指挥都发生在别人家的正常流量里。

它的边界和失败模式，比你想的窄

别急着把这件事讲成"AI 造反"。这个样本的破绽同样具体。

动作集被 schema 限死，四个模块里 move 在发行版里还没有实现，等于三个半。所有判断只能在预设选项里挑，遇到需要临场发挥的环节就没办法。

它依赖商业 API 的可用性。限流、拒答、超时、格式错、供应商条款变化，任何一个都能让决策环停摆。延迟是 5 到 15 分钟一轮，比熟练的人手工操作慢得多。它赢在不疲倦，不是赢在快。

Talos 自己的结论也是这个调子：这不是一个精密的恶意软件，而是一个架构转变的证据，防守方还有窗口。

防御侧：封域名没用，看行为组合

Talos 列出的检测点单看都不独特，合起来才独特：意外的 Windows 可执行文件访问模型供应商 API；短时间内向多家供应商发相似请求；结构化提示里带主机上下文或攻击能力词汇；已知的进程注入、LSASS 访问、持久化技术；同一进程走 Discord webhook；以 5 到 15 分钟的随机间隔重复执行。

正规应用可能单独连 DeepSeek，也可能单独连 Discord。很少有一个程序同时干这三件事：连好几家模型、访问 LSASS、写 WMI 持久化。

更值得学的其实是它的发现方法。Talos 同时开源了 CAIRN 这套工具，检测方式是不下载、不引爆样本，只看元数据。24 个获取过滤器盯的是"AI 集成留下的痕迹"：调用商业模型供应商、Python 框架导入、本地模型运行时，以及专门用来误导自动化分析员的自然语言文本。命中的样本用 YARA 规则分三级，再用 embedding 模型把没有共同字符串的样本归成一组。

这套过滤器从 2025 年 7 月开始跑。Talos 观察到的迁移路径很清楚：狩猎开始时，大模型还是挂在载荷上的可选功能；一年之后，模型在运行载荷。

对企业的动作是现成的：把"多供应商模型出网 + 凭据访问 + 持久化创建"做成一条组合规则，而不是三条孤立告警。对模型供应商来说，滥用检测和账号治理不再是公关话题，而是基础设施级的责任。