Výskumníci Cisco Talos v utorok 22. septembra zverejnili analýzu nástroja s názvom CLOSEDQUORUM — podľa tímu ide o prvý dokumentovaný plne autonómny viacmodelový AI command-and-control implant. Namiesto ľudského operátora rozhoduje o postupu kompromitácie panel štyroch veľkých jazykových modelov. Zároveň Talos vydal open-source toolkit CAIRN na odhaľovanie takéhoto malware.
Čo je CLOSEDQUORUM
Ide o 16,4 MB Windows binárku napísanú v Go. Po napadnutí systému sa spojí s API štyroch modelov — DeepSeek, Qwen, Mistral a Gemini — a každé rozhodnutie podriaďuje hlasovaniu: modely dostanú system prompt v štýle „You are an advanced malware strategist. Provide ONLY executable decisions“ a ich odpovede sa zrátavajú princípom plurality voting. Väčšina vyhrá, operátor nie je potrebný.
Akcie sú formalizované do JSON schémy — kradnutie dát, injektáciu kódu, perzistenciu aj laterálny pohyb (steal, inject, persist, move). Medzi cieľmi implantu sú podľa Talos:
- LSASS — proces, v ktorom Windows drží prihlasovacie údaje,
- heslá z prehliadačov Chrome, Edge a Firefox,
- kryptopeňaženky MetaMask a Exodus,
- exfiltrácia prebieha cez Discord webhook, taktika bežná u jednoduchších rodín malware.
Implant pracuje v cykloch po 5 až 15 minút, čím napodobňuje rytmus bežnej ľudskej práce.
Čo vieme a čo nie
Je dôležité oddeliť fakty od interpretácie. Potvrdené: vzorka existuje, Talos ju analyzoval a popísal jej správanie; verejne dostupná vzorka obsahuje placeholder API kľúče; artefakty viažu vývojára ku carding fóram aktívnym od roku 2025; počas siedmich dní vzniklo šesť buildov, čo naznačuje aktívny vývoj. Nepotvrdené: reálne nasadenie v útokoch in the wild. Talos hovorí o „first reported“ implante, nie o pozorovanej kampani. Časť kapacít teda môže byť proof-of-concept, nie bojová verzia.
Prečo na tom záleží
Autonómny C2 implant mení niekoľko predpokladov, na ktorých stojí dnešná obrana:
- Human-out-of-loop: detekčné tímy sa spoliehajú, že operátor pracuje v pracovnom čase a robí ľudské chyby. Strojové kvórum túto výhodu obrancov ruší — útok beží 24/7, v konzistentnom tempe a bez únavy, ktorá doteraz operátorov prezrádzala.
- Multi-model quorum ztĺka signatúry: ak štyri modely hlasujú o každom kroku, výsledné správanie je priemerom štyroch „osobností“. Behaviorálna analytika zameraná na jednotlivé vzory má menšiu šancu zasiahnuť.
- Trend týždňa: ide o tretiu významnú správu o zneužití AI agentov za pár dní — po úniku dát zo španielskej agentúry AEPD a zraniteľnosti Plugin4Shell v agentických nástrojoch. Bezpečnosť agentických systémov sa z teórie stáva praxou.
CAIRN: odpoveď výskumníkov
Talos spolu s analýzou vydal open-source nástroj CAIRN, ktorý na odhaľovanie AI-malware používa prístup „metadata-first“ — namiesto hľadania známych signatúr sleduje charakteristické stopy komunikácie s LLM API a štruktúry autonómnych rozhodovacích cyklov. Pre bezpečnostné tímy je to praktický výstup: aj keby sa CLOSEDQUORUM nikdy nenasadil, technika sa objaví znova — podľa Talos je otázkou kedy, nie či.
Čo sledovať
Kľúčové otázky na najbližšie týždne: potvrdia sa reálne obete, alebo zostane pri vzorke z fóra? A ako zareagujú poskytovatelia modelov — autonómny C2 je priamo v rozpore s podmienkami použitia všetkých štyroch API, no ich technické vynútenie proti takejto konštrukcii zatiaľ nikto nedemonštroval.
