AIモデルの「多数決」で次の攻撃手順を決めるWindowsマルウェアが判明、Cisco Talosが報告

要点

• Cisco Talosは、攻撃指示をC2サーバーではなく最大4種類の商用AIモデルによる「多数決」で決定するWindowsマルウェア「CLOSEDQUORUM」を確認したと発表した。

• 感染端末の情報を送信した上で4つの行動候補を提示し、DeepSeekやGeminiなどのAIサービスから最多票を得た行動を自律的に実行する仕組みを備えている。

• 窃取機能ではWindowsの認証情報やブラウザの保存パスワード、暗号資産ウォレットの情報を集め、暗号化してDiscordへ送信する。

• 公開された検体はAPIキーなどがダミー値の未完成な状態であり、攻撃の完全な成立は確認されていないものの、AIに意思決定を委譲する新たな手口として分析されている。

• 米シスコシステムズのセキュリティ研究部門であるCisco Talosは2026年9月22日、攻撃の次の行動を最大4つの商用AIモデルによる「投票」で決定するWindowsマルウェア「CLOSEDQUORUM」を発見したと発表した。攻撃者が運用するサーバーから直接指示を受ける従来の方式とは異なり、複数の外部AIサービスに端末状況を判断させて次の行動を選ばせる設計が施されている。

AIモデルの「投票」によって次の行動を決定する仕組み

通常のマルウェアは、攻撃者が管理するC2サーバー（マルウェアに遠隔から指令を出すサーバー）と通信して動作指示を受け取る。これに対しCLOSEDQUORUMは、DeepSeek、Qwen、Mistral、Google Geminiという最大4種類の商用AIサービスに対して、次に何を実行すべきかを問い合わせる仕組みを採用している。

マルウェアは問い合わせの際、感染端末のコンピュータ名、Windowsのバージョン、管理者権限の有無といった基本情報とともに、固定された行動の選択肢を送信する。AIモデル側はあらかじめ指定されたフォーマットで回答する必要があり、指定形式に従わない回答は破棄される。

集まった有効な回答のうち、最も多くの票を集めた行動が実行に移される。すべてのモデルから有効な回答が得られなかった場合は、勝手に行動を選ぶのではなく、待機して再度問い合わせを試みる設計となっている。この投票システムにより、攻撃者はマルウェアを一度送り込んだ後、自ら個別のコマンドを送信し続ける必要がなくなるという。

4つの行動選択肢と端末内での処理

マルウェアがあらかじめ用意している選択肢は、「steal（窃取）」「inject（注入）」「persist（永続化）」「move（移動）」の4種類となっている。

「steal」が選ばれた場合、マルウェアは3つの処理を同時に実行する。Windowsのログオン認証情報を保持するシステムプロセス「LSASS」のメモリをダンプするほか、Chrome、Edge、Firefoxに保存されたパスワード、さらにMetaMask、Exodus、Ethereumといった暗号資産（仮想通貨）ウォレットのデータを収集する。

「inject」が選ばれた場合は、他の正規プログラムの内部で不正なコードを実行するプロセス注入手法（Early Bird APC injection、またはモデルの要求に応じたプロセス中空化）を用いる。「persist」が選ばれた場合は、システムの再起動後も自動起動するよう、レジストリのRunキー、タスクスケジューラ、60秒ごとに起動するWMI（Windowsの管理機能を操作するインターフェース）イベントサブスクリプションの3カ所に登録を行う。レジストリやWMIの登録名には「Windows Update」を模した名称が使われ、正規のシステム処理に見せかける偽装が施されている。

なお、4つ目の「move」については、今回解析された公開バージョンのコード内には具体的な処理が実装されておらず、選択されても機能しない状態だった。

データの持ち出し経路と開発者の背景

収集されたデータは、一時的に「C:\Windows\Temp\」ディレクトリに保存されて暗号化された後、1,900バイト単位に分割され、毎秒1件のペースで攻撃者のDiscordチャンネルへと送信される。送信にはDiscordのWebhook（外部から特定のチャンネルへ自動でメッセージを送る機能）が利用されている。攻撃者はこのチャンネルを通じて、各AIモデルが下した判断内容やその選定理由、そして盗み出された情報をリアルタイムで確認できる仕様となっていた。

この仕組みが実際に動作するには、AIサービスのAPIキーと有効なDiscord Webhookが必要となる。今回確認された公開版にはプレースホルダー（ダミー値）が設定されており、そのままでは通信が成立しない。

Talosによると、このマルウェアは同社が2026年9月22日に公開したAI連携マルウェア追跡ツール「CAIRN」によって発見された。コードの解析日付は2026年6月17日となっており、少なくとも3カ月前には作成されていたとみられる。侵入経路は明らかにされていないが、コード内の痕跡から、2025年頃に盗難クレジットカード情報を売買する犯罪フォーラムに投稿していた人物との関連が示唆されている。

AI悪用マルウェアとしての位置づけと防御側の着眼点

Talosは、C2の意思決定そのものをAIモデルの多数決に委ねるWindows向けインプラント（侵入プログラム）が公に報告されたのは、把握している限り今回が初めての事例であるとしている。

これまでにもAIを悪用したマルウェアは存在しており、2025年7月にウクライナのCERT-UAが報告した「LAMEHUG」では、決められたタスクを実行するためのコマンド記述をAIに生成させていた。これに対しCLOSEDQUORUMは、実行すべきタスク自体の選択をAIに任せている点が異なる。

一方で、商用AIサービスへの依存は攻撃側にとっても弱点となる。AIサービスがリクエストを拒否したり、利用回数の上限に達したり、予期せぬ出力を返したりするリスクがあるほか、攻撃者自身が制御できない第三者企業に依存せざるを得ないためだ。

Talosは防御側のアプローチとして、AIサービスの通信ドメインを一律に遮断するのではなく、端末の不審な挙動を監視することを推奨している。DeepSeek、Mistral、Gemini、Discord、あるいはOpenRouterといったサービスへの通信自体は正規の用途でも発生し得るが、複数のAIサービスと通信を行いながら同時にLSASSメモリへアクセスを試みるような挙動は極めて不自然であり、そうした複合的な振る舞いを捉えることが検知の手掛かりになるとしている。