Program szpiegujący pyta cztery komercyjne modele językowe, co ma zrobić dalej, zlicza ich odpowiedzi i wykonuje tę, która zebrała najwięcej głosów. Przy remisie pierwszeństwo ma DeepSeek, a gdy ten nie odpowie, kolejny dostawca z ustalonej listy. Implant nazywa się CLOSEDQUORUM, waży 16,4 MB i jest 64-bitowym plikiem wykonywalnym dla Windowsa. Cisco Talos opublikował jego analizę 22 września 2026 roku i opisuje go jako pierwszy udokumentowany przypadek, w którym kolejny krok ataku wybiera panel modeli zamiast operatora. Menu decyzji ma cztery pozycje: kradzież danych logowania, wstrzyknięcie kodu, zadomowienie się w systemie i ruch w głąb sieci. Złośliwe oprogramowanie sterowane przez AI przestaje w tym momencie być zapowiedzią z branżowych konferencji.
Czym jest CLOSEDQUORUM i co dokładnie ogłoszono 22 września
Nazwa oddaje mechanizm dosłownie. Klasyczny implant dostaje polecenia z serwera dowodzenia, czyli maszyny, którą ktoś obsługuje. Tutaj tę rolę pełni w kodzie panel modeli czterech dostawców: DeepSeek, Qwen, Mistral i Google Gemini. Program napisano w Go, z domieszką kodu C dołączonego przez CGO_ENABLED=1.
Historia próbki sięga wiosny. Talos potwierdził analizę statyczną 17 czerwca 2026 roku, a 3 lipca autor zmienił nazwę projektu z BALZAK na obecną. Badacze podali sześć skrótów SHA256 z siedmiu dni budowania kolejnych wersji.
Jedno zastrzeżenie trzeba postawić od razu, bo zmienia skalę całej sprawy. Talos pisze wprost: “While we do not have confirmation of in-the-wild deployment”, czyli nie ma potwierdzenia użycia tego programu w realnym ataku. Badacze nie wskazują ani poszkodowanej firmy, ani poszkodowanego użytkownika. Mamy opisany mechanizm, natomiast potwierdzenia wdrożenia ani trwającej kampanii nie ma.
Jak działa głosowanie i kto rozstrzyga remis
Za całą procedurą stoi funkcja o nazwie interModelDiscussion(). Program odpytuje dostawców po kolei i zbiera odpowiedzi do jednej listy. Każda odpowiedź ma pole Decision, a jego wartość zwiększa licznik w mapie zliczającej głosy. Wygrywa pozycja z najwyższym wynikiem, więc wystarczy większość względna.
Ciekawsze jest to, co dzieje się przy równym rozkładzie głosów. Pętla szukająca maksimum porównuje wartości ostrą nierównością, przez co zwycięża pierwsze napotkane maksimum. Kolejność sprawdzania jest stała: najpierw DeepSeek, potem Qwen, Mistral i na końcu Gemini. Remis rozstrzyga więc zawsze ten sam dostawca, a przy jego milczeniu kolejny z listy.
Gdy nie odpowie żaden z czterech, łańcuch zwraca wartość consensus. Program idzie wtedy spać i próbuje ponownie. Awaria całego panelu nie przerywa działania implantu, tylko je odracza.
Cztery decyzje, które program może dostać od modeli
Menu jest zamknięte i krótkie. Modele nie wymyślają nowych poleceń, tylko wybierają jedno z czterech, a implant ma gotowe procedury dla trzech z nich.
| Decyzja | Co program uruchamia | Co to daje atakującemu |
|---|---|---|
steal | Trzy procedury naraz: zrzut pamięci procesu LSASS, wyciąganie danych logowania z przeglądarek, wyciąganie portfeli kryptowalutowych | Hasła i tokeny do dalszego logowania oraz środki, które da się wyprowadzić od ręki |
inject | Wygenerowanie kodu do wstrzyknięcia, a potem wstrzyknięcie metodą Early Bird APC albo podmiana zawartości działającego procesu | Cudzy kod pracuje wewnątrz programu, który dla systemu wygląda normalnie |
persist | Wpis w rejestrze, zadanie w harmonogramie albo subskrypcja zdarzeń WMI | Implant wraca po ponownym uruchomieniu komputera |
move | Nic. W rozprowadzanej wersji nie ma procedury obsługującej tę decyzję | Nic. Modele mogą ją wybrać, a program jej nie wykona |
Ostatni wiersz mówi o stanie projektu więcej niż trzy pierwsze. Ruch w głąb sieci widnieje w menu, a procedury do jego wykonania w analizowanej wersji nie ma. Ta wersja była więc niekompletna, choć Talos nie rozstrzyga, dlaczego procedury zabrakło.
Złośliwe oprogramowanie sterowane przez AI używa pętli zwykłego agenta
Zbierz kontekst, zapytaj model, wykonaj wybrane narzędzie, powtórz. To typowy schemat pracy agenta AI, od asystenta odpisującego na zgłoszenia po skrypt porządkujący faktury. Model dostaje opis sytuacji i listę dostępnych działań, a połączony z nim kod wykonuje to, co wskaże.
CLOSEDQUORUM realizuje ten sam schemat, z jedną różnicą: lista dostępnych działań opisuje cudzy komputer. Nie ma tu żadnej nowej techniki ataku. Zrzut pamięci LSASS, podmiana zawartości procesu i zadanie w harmonogramie są w użyciu od lat i należą do zachowań, pod które pisze się reguły wykrywania na stacjach roboczych. Nowa jest w tym opisie warstwa decyzyjna nad nimi.
Ta sama obserwacja wracała u nas kilka razy w tym roku. Opisywaliśmy raport o agentach AI wykorzystywanych do włamań oraz eksperyment Andon Labs, w którym agenty prowadziły firmę i radziły sobie z tym różnie. Za każdym razem sedno było podobne: narzędzie jest neutralne, a rozstrzyga to, co podłączymy do wyjścia.
Po co cztery modele zamiast jednego
Talos nie odpowiada na to pytanie. Wszystko, co można powiedzieć dalej, jest przypuszczeniem wyciągniętym z samej konstrukcji. Warto to czytać jako hipotezę, a nie jako ustalenie badaczy.
Pierwszy możliwy powód jest czysto praktyczny. Jeden dostawca może zablokować konto, zmienić warunki albo po prostu mieć awarię, a cztery niezależne usługi dają redundancję. Drugi dotyczy pieniędzy i limitów, bo zapytania rozkładają się na kilka kont zamiast obciążać jedno. Trzeci jest najbardziej niewygodny dla obrońców: nie ma jednego adresu ani jednej usługi, których odcięcie unieruchamia implant.
Dlaczego rozprowadzana wersja nie zadziała
Próbka krążąca publicznie jest pusta w miejscach, które decydują o działaniu. Klucze do wszystkich czterech usług mają wartość dummy_api_key, a adres webhooka Discorda to dummy_webhook_url. Bez podstawienia prawdziwych danych panel nie odpowie, więc program nie wykona ani jednej decyzji.
Talos wskazuje przy tym, że wersje dla operatorów budowano z wkompilowanymi kluczami. Artefakty z pliku pozwoliły też powiązać jego autora z wpisami na forum przestępczym dotyczącymi cardingu, czyli oszustw na kartach płatniczych, sięgającymi 2025 roku. Nazwy forum Talos nie podaje, więc i my jej nie podamy.
Program odpytuje modele czterech firm, a dostawcy milczą
Kod przewiduje odpytywanie modeli czterech firm o wybór działania, w tym o kradzież danych logowania. Czy któraś z nich to skomentowała?
Sprawdziliśmy blogi i materiały prasowe DeepSeeka, Qwena, Mistrala oraz Google’a, a także relacje branżowe z 22 września. W chwili publikacji tego tekstu żadna z czterech firm nie wydała oświadczenia w sprawie CLOSEDQUORUM. Sam Talos też o żadnej reakcji nie wspomina i nie pisze, czy dostawców powiadomiono. Zaznaczmy przy tym rzecz uczciwą wobec nich: ze źródła nie wynika, żeby którakolwiek wiedziała o tym użyciu swojego modelu.
Wykrywacz, który to znalazł, wyszedł na licencji MIT
Druga połowa tej historii jest spokojniejsza i bardziej pożyteczna. Tego samego dnia Talos udostępnił CAIRN, czyli Cognitive Artifact Intelligence Research Network, zestaw narzędzi do wyszukiwania złośliwego oprogramowania korzystającego z AI. CLOSEDQUORUM jest jego pierwszym znaleziskiem.
Metoda opiera się na metadanych, więc obywa się bez pobierania i uruchamiania badanych plików. Narzędzie stosuje do 24 filtrów pozyskiwania, reguły YARA w trzech warstwach oraz grupowanie znaczeniowe modelem osadzeń, czyli szukanie próbek podobnych do już opisanych. Tropi przy tym ślady, które twórcy zostawiają mimochodem: szablony poleceń dla modelu, klucze do usług, słownictwo z prób obchodzenia zabezpieczeń.
Repozytorium na GitHubie powstało 23 lipca 2026 roku, kod jest w Pythonie, a plik LICENSE zawiera licencję MIT z notą Cisco Systems. Autorzy od razu studzą oczekiwania i warto im to policzyć na plus. Trafienia z dwóch pierwszych warstw reguł często nie mają nic wspólnego z prawdziwym użyciem AI. Analityk musi się liczyć z dużym szumem.
Pierwsza Misja AI · Kodożercy
AI bez technikaliów – kurs i certyfikat
Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Fabuła w konwencji science fiction, gamifikacja, ćwiczenia na żywym modelu, certyfikat na koniec.
Zacznij Pierwszą Misję →
Najczęstsze pytania
Czy blokowanie DeepSeeka albo Gemini w firmowej sieci coś tu daje?
Pomaga mniej, niż się wydaje, i sam projekt implantu dobrze to pokazuje. Cztery niezależne usługi oznaczają, że odcięcie jednej domeny zostawia trzy działające. Klasyczne wykrywanie po adresie serwera dowodzenia traci tu część skuteczności, bo ruch idzie do usług, z których wiele firm korzysta legalnie. Praktyczna obrona zostaje w tym samym miejscu co dotąd: wykrywanie zrzutów pamięci LSASS, wstrzykiwania kodu i podejrzanych wpisów w harmonogramie zadań.
Czy ten program krąży dziś po polskich komputerach?
Nic na to nie wskazuje i nie należy tego tak przedstawiać. Talos nie potwierdził użycia implantu w żadnym ataku, a publicznie dostępna wersja ma puste pola na klucze, więc nie działa. Znane są za to skróty SHA256 sześciu wersji, co wystarcza zespołom bezpieczeństwa do wyszukania próbki we własnych zbiorach.
Podsumowanie
Ciężar tej sprawy leży w warstwie decyzyjnej. Implant korzysta z technik znanych od lat, a jego publiczna wersja nie zadziała bez podstawienia kluczy do czterech usług. Nowy jest sposób wybierania kolejnego ruchu: kod przekazuje opis sytuacji czterem modelom i wykonuje działanie wskazane przez największą ich liczbę. Przy remisie pierwszeństwo ma DeepSeek, a gdy nie odpowie, kolejny odpowiadający dostawca z ustalonej kolejności. Talos nie potwierdza użycia programu w jakimkolwiek ataku i nie przypisuje go żadnej grupie. Dla zespołów bezpieczeństwa praktyczny wniosek jest prosty. Warto wziąć sześć opublikowanych skrótów SHA256 i sprawdzić własne zbiory. Narzędzie CAIRN jest przy tym dostępne na licencji MIT dla każdego, kto chce szukać podobnych próbek sam.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
