Малварь, которая платит четырём провайдерам ИИ за планирование собственных атак

22 сентября подразделение Cisco Talos задокументировало CLOSEDQUORUM↗ — имплант для Windows, который перепоручает работу злоумышленника комитету чат-ботов: за каждый его шаг голосуют до четырёх коммерческих ИИ-моделей, оператора в контуре нет ¹. Теперь заказчикам средств защиты нужно закладывать в бюджет новую статью расходов — обнаружение этапа атаки, скорость которого больше не ограничена человеком: такой этап крадёт данные, следит за ним кто-нибудь или нет. Опубликованное на следующий день исследование Cisco показало масштаб разрыва: 95% предприятий заявили, что их нынешние инструменты для эксплуатации ИИ не справляются ².

Голосуют четыре модели, ничью всегда решает DeepSeek

Бинарный файл на Go объёмом 16,4 МБ опрашивает DeepSeek, Qwen, Mistral и Gemini о следующем шаге: внедриться, закрепиться в системе, украсть данные или продвинуться по сети. Побеждает относительное большинство голосов; при ничьей приоритет у DeepSeek, затем у Qwen, Mistral и Gemini ¹. Постоянный промпт импланта гласит: «Ты — продвинутый стратег вредоносного ПО. Выдавай ТОЛЬКО исполнимые решения». Один голос за кражу запускает за один проход снятие дампа LSASS, извлечение паролей из Chrome, Edge и Firefox и выгрузку криптокошельков MetaMask и Exodus, а также Ethereum-кошельков. Затем добыча, зашифрованная по алгоритму AES-256-GCM, уходит на вебхук Discord оператора, а имплант заново принимает решения по случайному таймеру — от 5 до 15 минут ¹³.

Командный сервер превратился в платную подписку

Раньше во вторжении главным блокируемым элементом был сервер: домен, который можно перехватить (sinkhole), и IP-адрес для чёрных списков. CLOSEDQUORUM меняет его на те же четыре эндпоинта API, которые легитимные программы вызывают без остановки, — поэтому блокировка такой инфраструктуры ломает честный софт ¹. В сборку каждого покупателя компилируются собственные API-ключи ¹, так что каждый имплант становится платным клиентом провайдеров, чьи модели он опрашивает: счёт выставляется за каждый вызов. В открытых источниках нет следов того, чтобы хоть один из четырёх провайдеров пометил такой трафик как подозрительный; Talos отмечает, что наступательные формулировки промпта, скорее всего, видны только при инспекции TLS или в телеметрии на стороне провайдера ¹.

От написания команд — к выбору миссии

Родословная короткая. В июле 2025 года украинский CERT-UA выявил LAMEHUG — имплант, получавший команды от модели через API Hugging Face; CLOSEDQUORUM идёт дальше и поручает выбор миссии самим моделям ⁴. Исследователь Talos Райан Феттерман в летнем ретроспективном обзоре насчитал лишь около девяти поименованных семейств малвари с интегрированным ИИ↗; CAIRN — инструментарий, который Talos выложила в открытый доступ вместе с публикацией, — с тех пор выявил ещё около 20 таких семейств ⁴. Статический анализ бинарного файла датирован 17 июня — за три месяца до публикации ¹.

Нашедший малварь назавтра продаёт лекарство

Спрос, о котором незадолго до этого говорили её исследователи, Cisco перевела в цифры. Опрос Omdia среди 1000 ИТ-руководителей↗ показал: 95% считают существующие инструменты для эксплуатации ИИ (AIOps) неадекватными, 51% уже используют агентный ИИ в продакшене, а 24% допускают работу агентов без контроля со стороны человека ². Директор по продуктам Cisco Джиту Патель формулирует кратко: «Оборона больше не может быть человеческого масштаба» ⁵. Суть именно в двойной роли: подразделение Talos, нашедшее CLOSEDQUORUM, и продуктовое подразделение, продающее лекарство от того же страха, — одна компания. У лекарства есть имя: AgenticOps — управление сетевой инфраструктурой силами ИИ-агентов в рамках, заданных человеком. Его продают в одной связке с платформой подключения и защиты на базе ИИ, которую 86% покупателей хотят видеть единым интегрированным инструментом ².

Заказы обогнали выручку — и рынок это заметил

Рынок проголосовал досрочно: акции Cisco за двенадцать месяцев к 24 сентября принесли 62% против 16% у индекса S&P 500↗ ⁶. Итоги 2026 финансового года Cisco приводит сама: заказы на инфраструктуру ИИ — $9,3 млрд, примерно в 4,5 раза больше, чем годом ранее, — при выручке от ИИ около $4 млрд и цели в $7,5 млрд на 2027 финансовый год ⁶.

Товар на витрине, а не эпидемия

Talos не подтвердила ни одной жертвы, а поставляемая сборка инертна: API-ключи-заглушки, фиктивный вебхук ¹³. Неясно, тест это или эксперимент ³. Talos видит в образце скорее набор «учётные данные как сервис» (credentials-as-a-service), чьё главное отличие — автономный слой на базе большой языковой модели (LLM) ¹: покупатель, не умеющий программировать, может арендовать этап атаки, который продолжает работать, пока атакующий спит.

Обнаружение смещается от доменов к поведению

Признаки теперь поведенческие: один процесс Windows опрашивает сразу нескольких провайдеров ИИ, попутно обращаясь к LSASS и отправляя данные в Discord ¹. Этап атаки больше не ждёт оператора, а графа расходов у покупателя открывается ровно там, куда её поставил собственный опрос компании-первооткрывателя: 95% признают, что нынешние инструменты не поспевают ². Первый жёсткий замер того, окупается ли лекарство, состоится вместе с отчётом Cisco за первый квартал финансового года — первой проверкой цели по выручке от ИИ в $7,5 млрд ⁶.