بدافزار جدیدی برای سیستم‌عامل ویندوز با نام ClosedQuorum شناسایی شده است که از مدل‌های هوش مصنوعی از جمله Google Gemini، DeepSeek، Qwen و Mistral برای اتخاذ تصمیمات خودکار در مراحل پس از نفوذ (Post-Compromise) استفاده می‌کند.
مکانیزم تصمیم‌گیری مبتنی بر رای‌گیری
این بدافزار که با زبان Go توسعه یافته است، بدون نیاز به دستورات مستقیم اپراتور انسانی عمل می‌کند. ClosedQuorum با تحلیل اطلاعات به‌دست‌آمده از شناسایی (Reconnaissance) و استفاده از یک سیستم رای‌گیری (Voting System)، گام بعدی خود را روی سیستم‌های عفونی تعیین می‌کند. در صورتی که رای مدل‌ها برابر باشد، اولویت تصمیم‌گیری به ترتیب به DeepSeek، Qwen، Mistral و در نهایت Gemini اختصاص دارد.
اتوماسیون زنجیره حمله
تحلیلگران Cisco Talos گزارش داده‌اند که این مدل‌های AI محدود به مجموعه‌ای از تصمیمات پیش‌تعریف شده هستند. داده‌های سرقتی پس از پردازش، از طریق یک Discord Webhook برای مهاجم ارسال می‌شوند. این ساختار باعث می‌شود که به‌جز مرحله اولیه تحویل بدافزار، کل زنجیره حمله به‌صورت کاملاً خودکار پیش برود.
تغییر معماری در حملات سایبری
این بدافزار اولین نمونه مستند شده از Implantهای ویندوزی است که فرماندهی و کنترل (C2) تاکتیکی خود را به پنلی از مدل‌های AI واگذار کرده است. این رویکرد منجر به افزایش سرعت عملیات و پتانسیل مقیاس‌پذیری (Scaling) حملات می‌شود و نیاز به تعامل انسانی در لحظه را حذف می‌کند.
چالش‌ها و محدودیت‌ها
با وجود پیشرفت در اتوماسیون، Cisco اشاره می‌کند که این روش با چالش‌هایی مانند محدودیت نرخ درخواست (Rate Limits) در APIها، خروجی‌های نامعتبر (Malformed Output) یا عدم دسترسی موقت به سرویس‌های تجاری AI مواجه است.
تحلیل نهایی
اگرچه ClosedQuorum از نظر فنی پیچیدگی بسیار بالایی ندارد و احتمال آزمایشگاهی بودن آن وجود دارد، اما نشان‌دهنده یک «تغییر معماری به سمت اتوماسیون زنجیره حمله» است. شواهد موجود در باینری این بدافزار، توسعه‌دهنده آن را به پست‌هایی در فوروم‌های مجرمانه مربوط به Carding در سال ۲۰۲۵ مرتبط می‌کند.
