首个“自主AI指挥官”恶意软件曝光：让DeepSeek、Gemini等四个大模型投票决定攻击动作

📊 发布时间：2026年9月22日至23日

🎯 主要主体：Cisco Talos、DeepSeek、Qwen、Mistral、Google Gemini

一、发现概述：首个完全自主的AI指挥控制植入体

9月22日，网络安全公司Cisco Talos在其CAIRN项目中披露了一款名为CLOSEDQUORUM的1.4MB Windows植入体。Talos研究人员表示，这是他们已知范围内首个实现完全自主命令与控制（C2）的恶意软件——它不需要人类黑客实时发出指令，而是依靠多个大语言模型自主决定下一步行为。

二、投票机制如何运作

据披露，CLOSEDQUORUM在感染主机后，会向DeepSeek、Qwen、Mistral与Google Gemini四个商用大模型同时发射询问，评估当前主机环境并建议下一步动作。四个模型给出建议后，恶意软件以“多数投票”的方式决定实际执行哪个行为——即哪个建议获得最多模型支持，就执行那个行为。这种“多模型共识决策”机制使得攻击者无需事先硬码具体攻击逻辑，而是让AI模型在执行时实时推断。

这种设计的目的在于避免单一模型拒绝回应或决策错误导致整个攻击链中断，相当于给恶意软件配备了一个“多数决的去中心化大脑”。

三、目前的局限：尚未确认实际部署

值得注意的是，Talos明确表示，尚未确认CLOSEDQUORUM在现实世界中存在实际部署案例，该样本更像是研究人员在安全领域为探究技术可行性而构建的概念验证作品，或处于开发早期阶段。但即便仅作为概念验证，它已经证明了一个关键技术可行性：商用API开放的大模型推理能力，可以被直接嵌入到恶意软件中，作为去中心化、自主化的决策引擎。

四、这个发现说明了什么

CLOSEDQUORUM的发现为当前AI安全讨论提供了一个具体的技术实例：

商用大模型API的开放性本身就是一个双用风险面：任何人都可以通过标准API访问DeepSeek、Gemini等模型，并将其整合进自己的攻击工具链。
去中心化决策可能让恶意软件更难被单点防御识别：当攻击行为不再依赖预先定义的规则，基于行为模式的传统检测方法将面临新挑战。

五、参考来源

💬 欢迎交流：你觉得商用大模型API的开放性，应该如何在“创新自由”与“滥用风险”之间找到平衡？