Имплант без оператора вырабатывает тактику атаки голосованием DeepSeek, Gemini, Mistral и Qwen

DeepSeek, Qwen, Mistral и Gemini каждые пять–пятнадцать минут голосуют за тактику атаки, и голосование решает, что windows-имплант делает на хосте дальше. Это не свободная сессия модели, это цикл: имплант собирает контекст машины, рассылает один и тот же структурированный промпт четырём коммерческим LLM по очереди, считает голоса в map[string]int и исполняет победившее решение. При равном счёте победа отходит DeepSeek – не редакторским выбором, а строгим < в цикле подсчёта. Классический адрес командного сервера – домен, IP, сертификат, слушатель – тут отсутствует вообще, и это первая Windows-малварь публично задокументированного класса LLM-as-C2. Вытащила её Cisco Talos через новый тулкит CAIRN; имя у семейства говорящее – CLOSEDQUORUM.

Это и есть новый класс – тактический C2 переехал в коммерческий LLM-API. Не "ИИ помог оператору сгенерировать фишинг", не "ИИ подсказал код шеллкода": имплант вырабатывает тактику атаки голосом четырёх моделей и сам же её исполняет. Talos прямо фиксирует: ни одного публично задокументированного Windows-импланта с таким дизайном раньше не было. CLOSEDQUORUM – первый.

---