行业动态

思科 Talos披露名为 VOLTA-AUTODOXER 的信息窃取木马：在收集账号、密码、浏览器会话等数据后，会把结构化证据包交给大语言模型，对受害者资产做变现优先级评估。研究者尚未确认该样本已在真实攻击中大规模部署。WIRED同期跟进报道了该发现。

报道说了什么

据 Talos，VOLTA具备成熟窃密能力：浏览器密码／Cookie／支付卡、加密货币钱包种子、Discord／Telegram／Steam／Roblox会话、Microsoft OAuth、SSH与云配置、Wi-Fi配置文件与截图等。窃取后还会用被盗会话做二次 enrichment（如查 Gmail收据推断住址、拉 UberEats／DoorDash订单、用 Discord token补全画像），再通过 OpenRouter调用 LLM（默认 Claude Opus 4.6，回退 Kimi K2、Gemini 2.5 Flash），按「法医情报分析师」提示输出「价值」与「OPSEC」评估。样本含构建模板槽位，倾向「售卖给客户」的 builder形态；无攻击者自有基础设施。Talos研究员对 WIRED表示，未追踪到 VOLTA已在野外使用的实锤。

关键事实

• 时间／来源： 2026-10-31；Cisco Talos博客；WIRED Kernel Panic
• 名称： VOLTA-AUTODOXER（样本内自称）
• 传统能力： 广泛窃取凭证、会话、钱包与订单类 enrichment
• AI层： 经 OpenRouter多模型链做受害者优先级／dossier分析
• 部署证据： 研究者尚未确认真实世界攻击部署
• 关联： Talos以 CAIRN框架发现；文中对比 CLOSEDQUORUM「用模型替代高注意力人工环节」逻辑

VOLTA把「窃密」与「LLM分拣高价值目标」串在一起；在未见野外部署确认前，应作为威胁研究披露而非已爆发疫情来读。