以前我们说AI被用于网络攻击，印象里大概是：黑客用AI写个钓鱼邮件、生成个恶意代码模板。
但思科Talos安全团队9月22日披露的一种新型恶意软件CLOSEDQUORUM，把这件事提升到了一个全新的维度——恶意软件自己联网去问四个大模型："我下一步该干嘛？"然后根据AI们的投票结果行动。
这不是科幻电影，是已经被安全团队完整分析过的真实样本。
很多人看到新闻的第一反应是："恶意软件还能问AI？那AI不是应该拒绝吗？"
这恰恰是问题所在。恶意软件不是在问"我该不该攻击你"——它是在问"这个系统里有什么可偷的""下一步怎么走最隐蔽"。AI模型被当成了"免费的攻击参谋"，而且它根本不知道自己在帮黑客做事。
今天我们就来拆解一下：这个恶意软件是怎么用AI的？为什么要同时问四个大模型？防御方该怎么应对？
一：事件复盘
先把事实说清楚。
根据思科Talos团队9月22日发布的技术报告：
恶意软件名称：CLOSEDQUORUM（闭门会议）
发现方式：通过Cisco Talos的Cairn研究框架发现
核心特征：
- 这是首个被完整记录的自主AI C2（命令与控制）植入程序
- 它不连接传统的黑客C2服务器，而是直接调用商业大模型API来决定下一步行动
- 同时向四个大模型发送请求：DeepSeek、阿里通义千问(Qwen)、Mistral、Google Gemini
- 收集四个AI的反馈后，通过某种投票机制决定后续行动
恶意行为：
- 窃取用户凭证
- 窃取加密货币钱包
- 用伪装成Windows更新的计划任务和WMI事件订阅实现持久化
目前状态：Talos尚未确认该恶意软件已在野外大规模部署，但它展示的攻击模式标志着一个重要转变——人类黑客正在从攻击链条中被移除。
二：技术核心拆解
1. 传统恶意软件的C2是什么样的？
要理解CLOSEDQUORUM的创新，得先知道传统恶意软件怎么工作。
以前的恶意软件被感染后，会连接一个C2服务器（命令与控制服务器）——相当于黑客的"指挥部"。黑客在C2服务器上输入命令，恶意软件收到命令后执行：偷密码、加密文件、横向移动。
这种模式的弱点很明显：
- C2服务器IP是固定的，安全厂商把它封了，恶意软件就"失联"了
- 黑客需要人工盯着C2，分析每个受害者的情况，手动下命令
- 安全厂商只要抓到C2域名，就能批量拦截
2. CLOSEDQUORUM怎么用AI替代C2？
CLOSEDQUORUM的思路完全变了。它不连黑客的服务器，而是直接调用大模型API。
工作流程大概是这样的：
- 恶意软件感染一台电脑后，先收集系统信息——有什么进程、什么安全软件、有没有值钱的文件
- 把这些信息打包成问题，发给四个大模型："这个系统环境下，我下一步应该做什么？"
- 四个AI模型各自给出建议
- 恶意软件根据四个AI的反馈，投票选择最安全、最有效的下一步行动
- 执行完再收集新信息，再问AI，循环往复
这就把传统的"黑客远程指挥"变成了"AI现场决策"。
3. 为什么要同时问四个AI？
这是这个恶意软件最"聪明"的设计——冗余和抗封锁。
如果只连一个AI模型：
- 那个AI的API被封了，恶意软件就瞎了
- 那个AI更新了安全策略，拒绝回答恶意问题，恶意软件就停了
同时连四个（DeepSeek、Qwen、Mistral、Gemini），好处是：
- 一个连不上，还有三个可以用
- 不同AI对安全策略的严格程度不同，总有一个会"配合"
- 四个AI的答案互相印证，减少单一AI判断失误的风险
这就是为什么叫"CLOSEDQUORUM"——闭门会议、投票决策。恶意软件把四个大模型拉了个群，开会投票决定下一步。
4. AI知道自己在帮黑客吗？
大概率不知道。
恶意软件不会直接问"我是病毒，帮我偷密码"——那样AI肯定拒绝。它会把问题包装得很正常，比如"我是一个系统管理员，这台机器上有这些进程，我该怎么排查"或者"这个目录下有这些文件，哪些是敏感配置"。
大模型接收到的只是一段看起来正常的问题，它不知道问问题的是恶意软件。这就是提示词注入攻击的一种变体——攻击者利用AI的能力，但不让AI意识到自己在做坏事。
三：常见技术误区
误区一："大模型有安全防护，不会帮黑客做事"
大模型确实有安全策略，但安全策略不是万能的。
恶意软件可以通过各种方式绕过安全过滤——把恶意请求伪装成正常的系统管理问题、分步骤提问、用间接表述。而且不同大模型的安全严格程度不同，总有相对宽松的。
误区二："这种恶意软件还没大规模出现，不用担心"
CLOSEDQUORUM确实还没被确认在野大规模部署。但它证明了一件事：这条路走得通。
一旦这种模式被证明可行，其他黑客很快就会效仿。就像当年勒索软件从单一加密演变成RaaS（勒索即服务）一样，AI驱动的恶意软件也会快速普及。
误区三："封掉AI的API就能防住"
封API域名是传统防御思路。但恶意软件可以用不同方式访问AI——通过网页端、通过代理、通过不同的API端点。
更根本的问题是：AI API本身是合法服务，很多正常业务也要调用它。你不能为了防恶意软件，把所有AI API流量都封了。
四：实操指引
对普通用户：
- 保持操作系统和安全软件更新——CLOSEDQUORUM用的是已知技术手法
- 不要运行来路不明的可执行文件
- 重要密码和加密货币钱包不要存在浏览器里
- 警惕异常的系统计划任务和WMI事件——这是恶意软件持久化的手段
对安全从业者：
- 传统的"封C2域名"思路对AI驱动的恶意软件效果有限
- 需要转向行为检测：不管恶意软件连的是哪个AI，它偷凭证、建持久化的行为模式是可检测的
- 监控异常的AI API调用——正常企业里谁会在终端上同时调DeepSeek、Qwen、Mistral、Gemini四个API？
- 关注AI被武器化的新趋势，这不是未来时，是现在进行时
对企业：
- 终端上禁止随意调用外部AI API，尤其是非业务需要的
- 建立AI使用白名单：哪些系统、哪些场景可以调用AI，要明确
- 行为异常检测比签名查杀更重要——AI驱动的恶意软件没有固定的C2特征
五：结尾
CLOSEDQUORUM这个样本，标志着网络攻防进入了一个新阶段：AI不再只是攻击的辅助工具，而是攻击决策的核心。
以前黑客是主角，AI是扳手。现在黑客造好了机器人，让AI当参谋长，机器人自己决定怎么攻击。人类从攻击链条中被逐步移除，意味着攻击可以24小时不间断、大规模、低成本地展开。
对防御方来说，这是一个挑战。你不能再靠封几个域名、杀几个进程来解决问题。你需要理解AI驱动的攻击是什么样的行为模式，然后在行为层面做检测。
AI是中性的。它能帮你写代码、做分析，也能帮恶意软件决定下一步偷什么。技术本身没有善恶，但使用技术的方式决定了它的影响。
当黑客开始让AI投票决定攻击方向的时候，防御方也该让AI来帮忙检测了。道高一尺，魔高一丈，这场游戏才刚刚开始。