CLOSEDQUORUM让四个AI模型投票决定恶意操作

2026年9月25日，Cisco Talos发布了对CLOSEDQUORUM的技术分析。这是一种面向Windows的二进制植入程序，能够向最多四个商业大语言模型请求建议，再依据投票结果决定下一步操作。Talos称，据其所知，这是首个被公开记录的、把战术性命令与控制决策交给商业模型面板的Windows植入程序。研究人员通过当天发布的开源研究工具CAIRN发现并追踪这一样本。

模型面板取代持续人工指挥

Talos披露的架构可接入DeepSeek、Qwen、Mistral和Google Gemini。程序的ModelOrchestrator会依次查询可用提供商，收集结构化回复后进行多数票式的选择，票数最多的决定将被执行。按照Talos的描述，程序部署后无需攻击者持续下达命令，也不必从攻击者自建的专用C2服务器接收任务；动态操作被交由模型选择。不过，这种说法描述的是代码设计和预期能力，而不是已获证实的大规模实战部署。

“Closed Quorum”意为封闭的法定人数机制：参与判断的可以有四个模型，但没有人类进入该会话。模型也不是任意聊天。恶意程序要求它们返回符合固定JSON类型的对象，并且决定字段必须能映射到已写入程序的功能模块；格式不合格、类型未知或无法处理的回复会被丢弃。因此，这个系统并非让模型自由规划完整入侵，而是把模型的判断压缩为作者预先限定的少数可执行选项。

已确认的代码证据与尚存的限制

Talos分析的样本是一个16.4MB、64位、以Go语言编译的Windows可执行文件。该机构表示，静态分析确认了完整的自动决策循环；开发版本还显示，提供商凭据可在构建阶段被写入程序。但公开分发版本使用的是占位API密钥和虚拟webhook，研究人员没有观察到这一架构从查询模型到外传结果的完整端到端运行。换言之，代码支持的功能与公开样本实际可运行的程度并不完全相同。

• 程序初始化时会收集主机名、Windows版本、系统架构、CPU数量和管理员权限状态。
• 它识别的决定包括steal、inject、persist和move四类。
• steal会同时调用LSASS凭据转储、Chrome、Edge与Firefox保存密码提取，以及MetaMask、Exodus等钱包数据搜集功能。
• 若投票平局，代码中的优先顺序为DeepSeek、Qwen、Mistral、Gemini。

在已披露的逻辑中，steal不是单一动作，而是并行启动多项凭据和钱包提取功能。inject会先生成shellcode，再根据模型回复中的利用类型分支，选择进程空洞化或早期鸟式APC注入等路径。persist调用持久化建立功能。move虽然出现在决定语言中，但Talos指出分发版本没有对应处理器。若全部模型都失败，程序会得到一个没有能力处理器对应的回退结果，随后休眠并重试，而不是默认执行某项攻击动作。

从专用C2转向常见云服务流量

传统命令与控制通常依赖攻击者管理的域名、IP地址、协议和监听服务。防御方可以封禁这些基础设施，威胁情报也可据此关联样本和活动。CLOSEDQUORUM的不同之处在于，它把部分C2角色交给多个商业AI服务的端点，而这些端点也被大量正常软件使用。Talos认为，这会让单一网络指标的价值下降：一个Windows进程访问AI API并不等于感染，关键在于该访问是否与同一主机上的恶意行为形成可识别的组合。

根据Talos的报告，投票胜出的决定、模型给出的推理，以及目标进程、利用类型、规避方法和载荷配置等字段，都会被送往攻击者的Discord webhook。Talos称，窃取到的材料会以AES-256-GCM加密，并以base64代码块形式进入攻击者的Discord频道。SecurityAffairs另称公开样本的密钥来自当前日期；这一具体说法没有出现在所提供的Talos技术摘录中，因此只能作为该媒体的转述，而不能视为Talos在该摘录中的独立结论。

关于实际使用情况，Talos明确表示尚未确认CLOSEDQUORUM已在真实环境中部署。该机构同时称，从二进制文件获得的工件曾被用于把开发者与自2025年以来出现在犯罪论坛、涉及盗刷卡业务的帖子联系起来。这一关联为样本提供了潜在犯罪背景，但并不能单独证明某次攻击活动、受害者范围或已造成的损失。模型服务本身也可能拒绝请求、超时或返回不符合格式的内容，多提供商设计能提高获得有效决定的机会，却不能保证成功。

对中国企业和安全团队而言，较实际的应对方式不是把所有AI服务连接一概视为风险，而是先建立授权使用的基线，并把进程、网络和终端行为关联审查。Talos列出的可观察信号包括：异常Windows可执行文件在短时间内访问多个AI提供商、同一进程或主机再与Discord webhook通信，以及LSASS访问、创建挂起进程或建立持久化等行为。任何一个信号都不足以定性，但其组合较为异常。这个样本仍属早期且存在运行限制，不过它把一种值得监测的趋势具体化：攻击者可把攻击链中的一段选择工作交给受约束的软件流程。