一句话看懂：Cisco Talos 发布开源框架 CAIRN，用于识别和分析“AI 集成型恶意软件”，并借此发现一个名为 CLOSEDQUORUM 的样本：它向最多四个大模型轮询“下一步该做什么”，全程没有人类指令介入。这说明 AI 已开始被嵌入攻击工具的执行链路，而不只是写代码的辅助工具。
事件核心：发生了什么
Cisco Talos 周一公开了开源分析框架 CAIRN（Cognitive Artifact Intelligence Research Network），思路类似安全行业长期使用的“数字指纹”：只要恶意软件调用了大模型、API 或相关服务，就会留下可用于分类和追踪的痕迹。CAIRN 从样本元数据中提取 AI 集成特征，生成类似唯一 ID 的标签，再把样本放进统一库中比对、聚类，观察攻击手法和趋势。
研究团队负责人 Ryan Fetterman 透露，过去几个月借助该框架新发现了约 20 个 AI 集成型恶意软件样本。其中最受关注的是 CLOSEDQUORUM：它会分别向 DeepSeek、Qwen、Mistral 和 Google Gemini 询问行动指令，在多个模型之间形成“共识”后执行，即使某一服务不可用也能继续轮询其他模型。样本与 2025 年以来涉及信用卡欺诈的网络犯罪论坛存在关联，目标是窃取登录凭证和加密货币。目前公开信息显示，研究人员尚无法确认开发者身份，也无法确认它是否已用于真实攻击。
为什么重要
此前被记录的 AI 恶意软件数量有限。2025 年 7 月，乌克兰 CERT-UA 曾警告一起利用“LAMEHUG”的钓鱼攻击，该植入程序通过 Hugging Face API 向 Qwen2.5-Coder-32B-Instruct 获取指令。Fetterman 原本预期此类样本会大量涌现，但实际梳理时只找到约九个已命名家族，其中部分还是研究用途的概念验证。CAIRN 的结果显示，公开报道之外的样本更多、结构也更复杂。
更关键的变化在于角色：大模型从“帮攻击者写脚本的生产力工具”，转为攻击链中的决策组件。Cisco Talos 威胁情报高级总监 Matt Olney 的判断是，AI 正在被“运营化”——攻击者可以同时铺开更多 campaign、覆盖更多主机，因为后端有一个能持续问答的智能系统。多模型轮询还带来冗余和容错，使指挥控制环节不再依赖单一服务或单点人工操作。
对用户/开发者/创作者的影响
对开发者，CAIRN 是开源框架，安全团队可以将其纳入样本分析流程，用来标记调用过 LLM API 的恶意程序；如果所在企业使用大模型 API，也应关注异常调用模式。对普通用户，这类样本仍以窃取凭证和加密货币为主，常规防护依然有效：不点不明链接、开启多因素认证、谨慎授权钱包和浏览器插件。对内容与工具创作者，若产品集成了多家大模型 API，多服务降级和调用审计值得提前设计——同样的架构既能提升可用性，也可能被滥用。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是 CAIRN 的样本库和分类标准是否被更多安全厂商、CERT 机构采用；二是 CLOSEDQUORUM 这类多模型指挥结构是否在真实攻击中被确认，以及模型厂商是否会加强 API 侧的滥用检测；三是“多模型共识”如果扩散，是否会催生针对 LLM 调用链的专门检测产品和监管要求。
来源：Wired AI
