如果你的 Windows 11 电脑在深夜突然“自己拿主意”决定是先翻浏览器里的登录密码还是先摸走加密钱包别急着怀疑科幻片桥段。思科 Talos 在 9 月 22 日扔出一颗深水炸弹一款名叫 ClosedQuorum 的 AI 恶意软件正在把入侵后的关键选择交给大模型投票决定。它不等你远程下命令也不要一个固定的黑客服务器一直在线真正可怕的是它把攻击者最耗时间的“判断”环节压缩成几次 API 调用。ClosedQuorum 的目标环境写得很明白主要盯着 Windows 11。它本体是一个用 Go 语言编译的 64 位 Windows 可执行文件体积约 16.4MB表面看不算精巧内核思路却足够让防守方后背发凉。过去恶意软件再凶也大多要回家请示连上 C2 服务器取一段指令再照着做。ClosedQuorum 偏偏把这个“家”拆掉了转而请来四位外部智囊——谷歌 Gemini、DeepSeek、Qwen 和 Mistral。机器一旦落地它先收集宿主环境信息把上下文塞进提示词再依次询问多家模型下一步该偷、该注、该留还是该横向走所谓“投票”并不是四个模型坐下来开圆桌会。每个模型只能在一个固定菜单里做选择选项被约束在 steal、inject、persist、move 这四个词附近票数多数者胜出若出现平局优先级被写死为 DeepSeek 最先随后是 Qwen、Mistral最后才是 Gemini。Talos 把这层机制叫做把战术指挥与控制决策委托给一组商业大语言模型也正因为这一点它被描述为首个公开记录、把战术 C2 交给模型面板的 Windows 植入程序。换句话说AI 没有现场写病毒它在人类作者画好的笼子里挑选下一步可问题在于笼子外连着真金白银。一旦“偷”字中标动作会非常脏且非常熟。它同时去碰 LSASS 内存翻 Chrome、Edge、Firefox 里保存的账号密码再顺手掏向 MetaMask、Exodus、以太坊相关钱包。选“注”就生成 shellcode走进程镂空或 Early Bird APC 注入选“留”就拉起持久化模块。至于 move理论上被放进了菜单Talos 分析到的公开构建却没有对应处理逻辑暂时更像一个留到后面的空按钮。战利品不会明晃晃走奇怪端口而是经 AES-256-GCM 加密后拆成小块通过 Discord webhook 回传给运营者Discord 还顺便承担遥测报告模型刚才选了什么、理由是什么。执行节奏也被刻意打散初始延迟大约五分钟之后按随机 5 到 15 分钟循环像是为了熬过沙箱的观察窗口。为了少留脚印它还会覆盖 EtwEventWrite硬生生掐掉一部分 Windows 事件追踪。这套东西真正刺痛行业的不是单项技术多新而是瓶颈换了位置。以往防守队擅长拉黑域名、封 IP、喂威胁情报因为传统 C2 总得有个落脚点。ClosedQuorum 把落脚点搬进了 DeepSeek、Qwen、Mistral、Gemini 的 API 端点——那些正是无数正经企业应用每天都在呼叫的地址。你总不能把大模型服务整站屏蔽否则正常业务先撞墙。检测被迫从“认门牌号”改成“看行为链”同一个 Windows 进程在短时间内以结构化提示词连续访问多家模型提示词里带着主机语境和攻击能力措辞紧接着伴随 LSASS 读取、进程挂起注入、Discord webhook 外传再叠加毫无规律的 5 到 15 分钟心跳这一串拼起来才像 ClosedQuorum单拆任何一块都容易淹没在噪声里。也得把话说稳。Talos 目前并没有确认它已在野外规模化部署分析样本里的 API key 还是占位符更像等待买家定制的模板但样本并非凭空玩具开发者痕迹能关联到 2025 年的犯罪论坛发帖且团队在约一周跨度里抓到六个构建说明迭代很快。它由 Talos 新放出的 CAIRN 计划捞到这个开源框架不急着跑二进制而是专挑“认知痕迹”——提示词模板、提供商端点、API key、越狱词、本地模型运行时——再用采集过滤器、YARA 分层规则、嵌入聚类去串联相似样本。名字取的是登山者叠石标路的意象意思很直白凡是把 AI 揉进攻击链的人都会在路上留下自己的石头。对普通 Windows 用户恐慌没必要松劲更不行。关闭没必要的浏览器密码保存给重要账号上多因素认证系统补丁别拖MetaMask 这类钱包别在主用机里裸奔收到可执行文件先查信誉再双击企业侧则该立刻梳理哪些进程有资格访问多家 LLM API给异常调用、LSASS 触碰和 Discord 外传做行为关联告警。ClosedQuorum 还谈不上成熟到横扫全网可“模型 quorum 当 C2”的门一旦被推开复制它不需要天才只需要几周工程量和一把编译器。过去是黑客睡着攻击就慢下来从今以后真正下线的是人而机器还在投票。