2026年10月31日，Cisco Talos 安全研究员 Ryan Fetterman 披露了一款自称 VOLTA-AUTODOXER 的 Windows 信息窃取木马（下称 VOLTA）。这款木马在搜刮完电脑里的密码、加密货币钱包和外卖账单后，并没有直接把原始数据发给黑客，而是通过 OpenRouter 接口调用商业大模型，让 AI 给受害者的身价分出高下。公众往往担心 AI 会写出更难查杀的超级病毒，但 VOLTA 暴露出的真实现状是，黑产正用大模型替代人工分诊，解决地下产业链里脏数据太多、人手看不过来的变现痛点。
翻完外卖账单再调 API，窃密木马长出估价大脑
VOLTA 的前半程是一个成熟且贪婪的传统窃密工具。该样本（SHA-256 为 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279，关联文件名包括 9BY0tjwOc3ut.exe 和 yLP9m5J3i2Aw.exe）首次被观察到的 UTC 时间是 2026年10月11日 12:46。一旦在受害者机器上运行，它会一次性提取基于 Chromium 内核浏览器及 Firefox、Thunderbird、Outlook 的凭证、Cookie 和支付卡后 4 位，顺手拿走 Slack 工作区、Discord、Telegram、Steam、Battle.net、Roblox 会话、Microsoft OAuth 令牌，以及 SSH 和 gcloud、OpenVPN、Hide.me 等云端与网络配置文件。对于加密货币钱包，它内置了破解器直接尝试内联解密金库；对于本机保存的所有 Wi-Fi 密码，它直接调用 WlanGetProfileList 接口导出为明文。
真正让它脱离普通木马范畴的，是紧随其后的二次会话富化。VOLTA 不会停留在把文件打包带走，而是直接复用刚刚偷到的登录状态，在受害者自己的电脑和网络上发起实时查询。它拿着受害者的 Gmail 令牌去翻找 Amazon、Walmart、PayPal 的收据，甚至直接拉取 Uber Eats、DoorDash 和 Grubhub 的外卖历史订单，交叉比对出一个确凿的真实家庭住址，再去 Rolimons.com 给受害者的 Roblox 虚拟库存做个实时估价。
完成这轮人肉搜索后，木马在本地拼出一份名为 Identity_Report.txt 的结构化档案，连同系统提示词一起发往 OpenRouter 接口。攻击者将模型温度硬编码为 0.2，追求最稳定、最少发散的输出，并要求大模型扮演一名起草目标评估报告的法医情报分析师。模型需要交付两部分核心内容，一是按高、中、低三档评估受害者资产变现价值，二是分析受害者的安全操作习惯，比如把姓名、住址、就读大学与密码规律做关联推理。最终拿到的评估结果会存为 AI_Analysis.txt，并按阶段分别打包进 volta_log.zip、volta_dox.zip 和 volta_doxnet.zip 传回攻击者的 Telegram 频道。
借 OpenRouter 串起三级回退链，抗护栏设计成标配
把一包偷来的隐私数据直接喂给商业大模型，最容易撞上厂商的安全护栏。VOLTA 的开发者显然在测试中吃过闭门羹，因此在代码里写死了一套三级故障转移链。
木马每次收到接口返回的内容，都会先检查里面有没有包含“I can’t”或“I’m not able”这类典型的模型拒绝话术。它的默认首选模型是推理能力最强的 anthropic/claude-opus-4.6；一旦触发拒答，程序会自动回退到 moonshotai/kimi-k2；如果再次碰壁，则由 google/gemini-2.5-flash 兜底。就算没有配置大模型密钥，这套 AI 评估层也是可选的，木马依然能作为纯粹的窃密工具跑完全程。
这种架构设计给地下黑产和企业防御两端都带来了直接冲击。对黑客而言，VOLTA 实现了零自建基础设施。传统木马需要攻击者自己买服务器、搭设命令与控制（C2）节点，很容易被安全厂商顺藤摸瓜封禁 IP。而 VOLTA 所有的网络通信都指向 OpenRouter、Telegram 和各类生活服务平台的合法接口，且代码里预留了 6 个可替换配置槽位。虽然这些槽位里的密钥只用了基于二进制文件内两个常量的 SHA-256 做简单加密，逆向分析就能轻易还原，但这种模板化设计更像是面向下游买家的生成器（Builder）模式——尽管 Talos 认为这目前仍属于技术评估而非已坐实的商业售卖。
AI 没让木马更会偷，但消灭了黑产的分拣瓶颈
为什么黑客要在一个已经很能偷的木马里，多此一举塞进大模型调用？答案藏在地下日志交易的时间差里。
传统的窃密木马采取广撒网模式，每天能从全球肉鸡上收割数以万计的原始凭证包（Logs）。但黑产长期受困于严重的人工分诊瓶颈。无论是企业云管理员的 Microsoft OAuth 令牌，还是挂着高额资产的セッション Cookie，都有严格的时效性。如果攻击者把海量脏数据直接倾销到暗网，或者靠人工一个个打开文本查找蛛丝马迹，等翻到真正的大鱼时，受害者可能早就改了密码，或者令牌已经过期作废。
AI 替黑客省下的不是写代码的时间，而是翻垃圾桶找金子的时间。
这正是 VOLTA 与此前 Talos 披露的 CLOSEDQUORUM 等 AI 恶意软件在逻辑上殊途同归的地方。黑客不再执着于用 AI 发明新的漏洞利用手法，而是找出犯罪链条里最耗费人类注意力的环节，用一个 API 调用把它替换掉。大模型擅长在稀疏、零散的个人信息之间建立联系，这是传统的正则表达式或关键词过滤脚本做不到的。一旦这套流水线跑通，普通用户在感染木马后，从账号被盗到遭遇精准敲诈或资产洗劫的时间窗口将被大幅压缩。
尚未发现在野攻击，防御重点转向合法网关与本地残留
在评估这起事件的威胁等级时，我们需要给概念炒作降降温。Talos 研究人员向 WIRED 证实，他们目前尚未追踪到在野部署（in the wild）的实际攻击案例。同时，Talos 的报告虽然拆解了代码里的三级回退链，但并没有公布这三个模型在真实运行中的响应结果，也没有证实其中任何一个模型真正被越狱并完成了这份恶意评估报告。
即便如此，VOLTA 依然为安全防御体系敲响了警钟。捕获该样本的功臣是 Cisco Talos 旗下的 CAIRN（认知制品情报研究网络，Cognitive Artifact Intelligence Research Network）框架。这套专门追踪 AI 集成恶意软件的防御系统，不再只盯着传统的二进制特征，而是通过提取代码里硬编码的系统提示词、大模型提供商端点等元数据来进行威胁狩猎。
对于企业的安全运营中心（SOC）和系统管理员来说，依赖恶意域名和 IP 黑名单的传统威胁情报在 VOLTA 面前已经失灵。因为企业内网完全可能存在正常的 OpenRouter 接口调用，安全团队不能一刀切地封禁合法 AI 网关，必须将本地异常的凭证读取行为与外发的大模型 API 流量做关联分析。
- 建议.在终端防御上，VOLTA 窃取浏览器令牌高度依赖绕过 Chrome 的应用绑定加密（ABE），管理员可通过应用程序控制策略限制非授权进程以
--headless（无头模式）启动 Chrome，直接掐断其解密路径。
如果怀疑终端已经失陷，哪怕 VOLTA 的主程序已经执行了自删除，应急响应人员依然可以去寻找关键的本地残留文件。木马会在 %APPDATA%\volta_debug.txt 下留存一份带时间戳的收割日志，里面详细记录了哪些数据被打包、大模型调用是否成功。处置此类感染时，光靠修改密码已经不够，受害者必须立即吊销所有关联的 OAuth 令牌与活跃会话；一旦发现明文助记词落盘，加密钱包持有者唯有立即将资金转移至隔离设备生成的新钱包，才能真正止损。