恶意软件开始给受害者估价

**恶意软件正在把大模型从“写代码的助手”变成犯罪团伙的自动化情报分析员。**10 月 31 日，Cisco Talos 披露了一款名为 VOLTA-AUTODOXER 的 Windows 信息窃取程序：它在偷走密码、Cookie、钱包助记词和云服务凭据后，会把数据交给大语言模型分析，判断受害者“值多少钱”、哪些资产最容易变现，以及应该优先攻击什么。(blog.talosintelligence.com)

**VOLTA 是一款加入 LLM 受害者画像与价值排序功能的信息窃取程序。**它的突破点不在于让 AI 生成恶意代码，也不是让模型直接控制电脑，而是把犯罪流程中最耗费人工的环节——阅读赃物、识别身份、寻找高价值目标——交给模型完成。

这不是一个炫技功能，而是一项相当实用的“运营效率升级”。传统信息窃取程序可以一次偷走数百个文件和会话，但攻击者仍要人工翻阅日志，判断哪台机器属于企业高管、开发者、加密货币持有人或拥有云平台权限的管理员。VOLTA 试图让模型在几分钟内完成这项工作，把“广撒网”升级成“广撒网后自动挑大鱼”。

它偷的不是几组密码，而是一份数字人生档案

**VOLTA 的数据收集范围覆盖了现代用户的大部分数字身份。**Talos 的分析显示，它会读取 Chromium 浏览器保存的密码、Cookie 和支付卡信息，同时针对 Firefox、Thunderbird、Outlook、Slack、Steam、Battle.net、Discord、Telegram、Roblox、SSH 配置以及云服务配置文件展开收集。(blog.talosintelligence.com)

它还会提取设备中保存的 Wi-Fi 密码、加密货币钱包和助记词，并尝试在本地破解部分钱包保险库。对于普通用户，这已经足以造成账号接管和资金损失；对于开发者或企业员工，SSH 密钥、云平台凭据、OAuth 令牌和工作区会话还可能成为进入公司内部系统的入口。

**VOLTA 的危险之处在于，它不会满足于复制本地文件。**恶意程序会利用已经窃取的登录状态进一步查询在线服务，例如在 Gmail 中搜索 Amazon、PayPal、DoorDash、Uber Eats 等服务的订单或收据信息，用来确认受害者的真实住址和消费能力；它还会读取外卖订单历史、补全 Discord 账号资料，并通过第三方数据估算 Roblox 虚拟资产价值。(blog.talosintelligence.com)

这意味着一个看似低价值的外卖订单，也可能成为攻击链中的关键拼图。订单提供姓名和地址，邮件元数据暴露雇主与工作关系，Slack 工作区和文档作者信息确认职业身份，浏览器会话则让攻击者绕过部分登录验证。单项数据可能不敏感，但模型擅长从分散信息中寻找关联。

**信息窃取程序是专门从受感染设备收集账号、会话和敏感文件的恶意软件。**过去，这类程序更像一台不加筛选的吸尘器；VOLTA 则在吸尘器后面接上了一个分析部门，对所有赃物进行分类、交叉验证和价值排序。

LLM 被安排成了“犯罪分析师”

**VOLTA 会把收集结果整理为结构化证据包，再提交给模型生成目标评估。**恶意程序先在本地生成 Identity_Report.txt，随后将身份、地址、雇主、支付信息、账号资产和安全习惯序列化为 JSON，发送至 OpenRouter 的 /api/v1/chat/completions 端点。模型返回的分析结果会保存为 AI_Analysis.txt，并与原始材料一起打包进 volta_dox.zip。(blog.talosintelligence.com)

模型收到的任务不是泛泛总结，而是输出接近商业尽调报告的结论。报告需要按照低、中、高等级排列可变现资产，说明证据来自哪里，并评估受害者的密码习惯、操作安全水平和潜在弱点。

**低温度参数表明，攻击者追求的是稳定输出，而不是创造力。**VOLTA 将温度设为 0.2，希望同一类证据得到格式一致、可预测的判断。这与生成钓鱼文案或编写变体代码不同：犯罪团伙需要的是一份可快速阅读、方便执行的标准化报告。

| 配置项目 | VOLTA 当前实现 | 实际作用 | |---|---|---| | 默认模型 | anthropic/claude-opus-4.6 | 首先执行受害者画像和资产评估 | | 第一后备模型 | moonshotai/kimi-k2 | 默认模型失败或拒绝时继续分析 | | 第二后备模型 | google/gemini-2.5-flash | 前两次调用失败后的最终后备 | | 推理温度 | 0.2 | 降低随机性，保持报告结构稳定 | | 请求方式 | 手工组装 JSON，不使用 SDK | 减少依赖，便于嵌入恶意程序 | | 输出文件 | AI_Analysis.txt | 保存排序后的目标评估结果 |

**多模型后备链说明，攻击者已经把模型拒绝视为需要工程化处理的故障。**VOLTA 会检查响应中是否出现“无法完成”一类拒绝表达；一旦判断模型没有执行任务，就切换至下一个模型。(blog.talosintelligence.com)

这个设计值得警惕，因为它改变了模型安全机制的对抗方式。攻击者不必攻破某个模型的保护，只需将多个供应商串成后备链：一个模型拒绝，就换另一个；全部失败，恶意程序仍然可以跳过 AI 阶段，外传原始窃取结果。单个模型的拒绝机制因此无法等同于整条攻击链被阻断。

真正的新能力，是自动决定“先骗谁”

**VOLTA 没有发明新的数据窃取技术，却显著降低了使用被盗数据的门槛。**浏览器密码提取、会话劫持、钱包窃取和凭据外传都是成熟能力，LLM 增加的是后处理效率：它能把一堆难以阅读的日志转换成有优先级、有理由、有证据出处的行动清单。

假设一次传播感染了 1,000 台电脑，其中可能只有 20 台属于高价值目标。传统犯罪团伙需要人工检查大量日志，廉价劳动力和判断能力会成为扩张瓶颈；加入模型后，运营者可以先查看被标记为高价值的目标，把勒索、账号接管、加密资产盗窃或企业渗透资源集中到少数人身上。

**这种能力最可能提高“普通受害者被跳过、高价值受害者被持续追击”的概率。**如果报告显示某台电脑只有低价值游戏平台账号，攻击者可能直接出售日志；如果报告识别出企业云管理员、拥有大量加密资产的用户，或者密码重复使用严重的高管，后续攻击就可能升级为定向钓鱼、企业入侵和勒索。

这也是 VOLTA 比“让 AI 写一段恶意代码”更现实的原因。代码生成仍需要编译、测试、规避检测和处理失败，而目标排序天然适合 LLM：输入是大量半结构化文本，输出是分类、摘要、关联和优先级，这正是当前模型已经相当成熟的工作类型。

它和此前的 AI 恶意软件不是一回事

**AI 恶意软件正在从辅助开发走向攻击流程中的具体岗位替代。**VOLTA 让模型扮演情报分析员，而此前 Talos 披露的 CLOSEDQUORUM 则尝试让多个模型投票决定恶意程序下一步执行凭据窃取、注入还是持久化。Talos 研究人员当时表示，尚未确认 CLOSEDQUORUM 被用于真实受害者，但其设计已经展示了将战术判断交给模型的方向。(reddit.com)

| 类型 | LLM 在攻击中的角色 | 输入 | 输出 | 主要价值 | |---|---|---|---|---| | 传统信息窃取程序 | 不使用 LLM | 本地账号与文件 | 原始日志包 | 批量收集数据 | | VOLTA | 受害者估值与优先级分析 | 身份、资产、会话和消费证据 | 排序后的目标报告 | 减少人工筛选成本 | | CLOSEDQUORUM | 攻击动作决策 | 受感染主机状态 | 预定义战术选择 | 减少人工指挥需求 | | LLM-jacking | LLM 是被盗资源 | 模型账号或云权限 | 非授权模型调用与算力消耗 | 转移模型使用成本 | | AI 辅助恶意软件开发 | LLM 是开发工具 | 攻击者需求与代码 | 脚本、漏洞分析或变体 | 提高开发速度 |

**VOLTA 和 LLM-jacking 的区别在于，前者使用模型分析受害者，后者窃取受害者的模型访问能力。**Google Threat Intelligence Group 在 2026 年观察到，LUMMAC.V2、STEALC.V2、VIDAR 和 ACRSTEALER 等信息窃取程序开始关注 AI 开发工具配置，而不再只偷浏览器中的 AI 产品会话。(cloud.google.com)

Google 披露的一个具体案例是，ACRSTEALER 在 2026 年 5 月针对 Cline 的 secrets.json 和 Continue 的 config.yaml 设置文件抓取规则。这些文件可能包含模型凭据和路由配置。Google 还表示，2026 年地下市场对 Claude、Gemini、Cursor Pro 和 Devin 等账号的需求上升，相关账号平均价格同比增长超过一倍。(cloud.google.com)

**开发者已经成为这类攻击的高价值人群。**开发机器通常同时保存代码仓库权限、云平台凭据、SSH 密钥、浏览器会话、AI 编码工具配置和内部文档，一台设备能够连接多个系统。VOLTA 的模型画像能力可以把这些零散证据拼成完整的权限地图。

没有自建服务器，反而更难盯

**VOLTA 将大部分网络活动放在第三方服务和受害者自己的连接上。**Talos 没有发现攻击者自建基础设施，模型推理直接在受害者电脑上发起，分析完成后才把结果发送到预先配置的 Telegram 位置。(blog.talosintelligence.com)

这种结构减少了攻击者需要维护的服务器，也压缩了安全团队通过传统域名和 IP 追踪攻击的空间。对企业而言，访问合法模型平台的 HTTPS 流量未必异常；真正异常的是一个陌生 Windows 可执行文件突然读取浏览器数据、启动无头 Chrome、调用模型端点并创建压缩包。

**VOLTA 的构建方式还带有商品化工具的明显特征。**样本预留了 6 个可在编译时替换的配置槽，用来写入模型凭据、通信位置和运行参数，这意味着作者可能通过构建器为不同使用者生成定制二进制文件。(blog.talosintelligence.com)

Talos 分析的样本为 64 位 Windows PE 文件，编译时间戳为 2026 年 8 月 17 日，首次发现时间为 2026 年 10 月 11 日。样本的 SHA-256 为 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279。(blog.talosintelligence.com)

防御重点不是封掉所有模型网站

**企业不应简单封禁全部 LLM 服务，而应限制哪些进程和身份能够访问这些服务。**模型平台已经进入开发、办公和客服流程，一刀切封禁的可执行性有限；更有效的策略是建立进程级出站控制，允许浏览器、批准的 IDE 和企业网关访问模型端点，同时告警未知二进制文件的直接调用。

**无头浏览器行为是当前可以利用的高价值检测信号。**VOLTA 的部分会话窃取能力依赖绕过 Chrome App-Bound Encryption，Talos 建议限制非授权进程以 --headless 参数启动 Chrome，并对不在开发工具白名单中的调用进行告警。(blog.talosintelligence.com)

安全团队还应重点监控以下行为：

• 未签名或低信誉进程批量读取浏览器配置、Cookie 数据库和凭据文件；
• 普通桌面程序突然访问多个模型服务端点；
• 同一进程读取钱包、SSH、云配置和聊天软件数据后立即创建 ZIP 文件；
• 非浏览器进程复用 Gmail、Discord、外卖平台或工作区会话；
• 开发目录中的 AI 工具配置文件被无关程序读取；
• %APPDATA% 下出现 volta_debug.txt、Identity_Report.txt 或相关压缩包。

**发生感染后，只修改浏览器密码是不够的。**组织需要同时撤销 OAuth 令牌、云平台会话、GitHub 与 SSH 凭据、即时通信会话和模型访问凭据，因为窃取到的 Cookie 与令牌可能允许攻击者绕过新密码继续访问账号。

如果加密货币助记词曾以明文形式保存在设备中，应视为钱包已经完全失陷，并将资产迁移到使用隔离设备生成的新钱包。Talos 还建议尽可能保留 %APPDATA%\volta_debug.txt，该文件记录了恶意程序收集了哪些数据，以及 LLM 分析是否成功执行。(blog.talosintelligence.com)

判断：AI 没让恶意软件更“聪明”，但让犯罪更容易规模化

**VOLTA 最值得关注的不是模型选择，而是攻击者开始拆解自己的工作流程。**他们正在寻找最依赖人工注意力的环节，然后用一次模型调用替代：有人用 AI 写钓鱼邮件，有人让模型分析漏洞，有人让多个模型选择攻击动作，而 VOLTA 负责判断受害者的价值。

这种变化不要求模型在网络攻击能力上取得突破。只要模型能稳定完成分类、摘要、信息关联和风险排序，就足以降低犯罪团伙的运营成本，并让经验不足的使用者获得接近专业分析员的结果。

**未来的高风险形态不是一款能够独立完成所有攻击的超级恶意软件，而是多个普通模块被模型串成自动化流水线。**数据窃取负责采集，LLM 负责判断，自动化工具负责后续操作，人类只在高价值目标上介入。每个环节单独看都不新，但组合后会让攻击规模和响应速度发生变化。

Talos 对 VOLTA 的总结很准确：网络犯罪过去一直在广撒网，而现在，网正在学会自己整理捕获物。(blog.talosintelligence.com)

参考来源

• Cisco Talos CAIRN 开源研究工具：用于发现和分析集成 AI 服务的恶意软件样本。
• Talos 研究员 Ryan Fetterman 关于 AI 恶意软件的 AMA：介绍 CLOSEDQUORUM、CAIRN 及多模型恶意软件的研究背景。