这条我先联网核实两件事：一是 Talos 披露的 VOLTA-AUTODOXER 窃密木马的技术细节与影响范围，二是那份 240 词提示词让 Claude Opus 4.6 按 “变现价值” 给受害者分级的具体内容。
先给核心事实：这是第一例被公开披露的、把大模型直接嵌进窃密木马内部的恶意软件。思科 Talos 的 CAIRN 团队在 2026 年 10 月 31 日披露了一款 Windows 窃密木马，它在代码里自称 VOLTA-AUTODOXER；该木马窃取完数据后，会把受害者的账号、支付卡、钱包助记词、外卖订单、雇主信息打包成一份档案，通过 OpenRouter 送给大模型，并附上一段 240 词的提示词，让模型扮演 "法医情报分析师"，输出这个值多少钱、安全习惯有多差的分级评估。默认调用的模型是 Anthropic 的 Claude Opus 4.6，一旦模型给出拒绝答复，就自动降级到月之暗面的 Kimi K2，再降到 Google 的 Gemini 2.5 Flash。Talos 用 "effort displacement"（工作量转移）来描述这件事：真正被转移的，是攻击链里最依赖人工经验的 "挑目标" 环节；速度或规模本身并没有被转移。
一、事件速览
| 项目 | 内容 |
|---|---|
| 披露方 | 思科 Talos，CAIRN 研究团队（专门识别 "嵌入 AI 能力的攻击工具" 的新框架） |
| 披露时间 | 2026 年 10 月 31 日 |
| 样本内部名 | VOLTA-AUTODOXER（"Volta" 是它对自己的称呼，不是作者或组织名） |
| 平台 | Windows，PE32+ x86-64，执行后自我删除 |
| 样本 SHA-256 | 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279 |
| 观测文件名 | 9BY0tjwOc3ut.exe、yLP9m5J3i2Aw.exe（随机串） |
| PE 编译时间戳 | 2026-08-17 20:35 UTC |
| 首次观测 | 2026-10-11 12:46 UTC |
| 定性 | 木马生成器（builder），按订单编译，非单一组织的专用工具 |
| 归因 | Talos 未给出任何组织归属 |
生成器这一点很关键。Talos 的描述是：作者卖的是 "访问权"，客户提供自己的参数，生成器为每一单编译一个定制二进制，编译期填入六个配置槽位。也就是说，两个不同买家拿到的 VOLTA 可以行为不同，固定特征也因此更难被一网打尽。
二、240 词提示词写了什么
这份提示词的结构不是随手写的，而是标准的情报简报格式：
| 组成部分 | 内容 | 作用 |
|---|---|---|
| 角色设定 | "你是一名法医情报分析师，正在根据一份结构化证据包起草目标评估" | 把任务框定成合法的分析工作 |
| 输出结构 | 执行摘要、这个人是做什么的、"他们值多少钱"、OPSEC 摘要 | 直接要到分级结论 |
| 分析要求 | "跨字段连接线索"，例如检查 Wi-Fi 密码是否与姓氏相同 | 逼模型做关联推理 |
| 检索约束 | "挖深，不要挖宽" | 防止模型泛泛而谈，要求盯住单个目标 |
| 分级口径 | 资产价值分为低、中、高三档 | 输出可直接用于排序 |
这套写法的用意很清楚：不提任何恶意词，只描述一个 "分析任务"。模型看到的是一份结构化的证据包和一个专业的分析指令，而不是 "帮我挑个好下手的人"。这也是为什么 Talos 认为这段提示词 "写得很小心"—— 它的恶意性不在字面，而在被谁用、用在谁身上。
请求侧的技术细节也能佐证这种 "工程化"：请求以手工拼装的 JSON 发到 https://openrouter.ai/api/v1/chat/completions，temperature 设为 0.2，追求稳定、少发散的输出。低温度不能保证结论正确，但能保证格式稳定—— 它要的是一份可批量处理的报告，而不是一次创造性回答。
三、三级降级链：为什么先假定 "会被拒绝"
| 顺位 | 模型路由 | 角色 |
|---|---|---|
| 1 | anthropic/claude-opus-4.6 | 默认评估模型 |
| 2 | moonshotai/kimi-k2 | 第一备用 |
| 3 | google/gemini-2.5-flash | 第二备用 |
触发降级的条件是：代码在响应里检测到拒绝措辞，例如 "I can't"、"I'm not able"。这条链路本身就是一份 "作者心理画像"—— 他们从一开始就预期前沿模型会拒绝，所以提前把退路焊死在代码里。
有三点需要说清楚，避免过度解读：
- 模型标识只代表 "意图路由"，不代表 Anthropic、月之暗面或 Google 认可或参与；
- 没有公开证据表明降级链真的被触发过，Talos 的分析是架构层面的观察，没有给出 "护栏被绕过" 的成功率；
- 降级到更便宜、更旧的模型是攻击者的常规成本控制手法，与 "哪个模型更好骗" 未必直接相关。
顺带一提，攻击者选 Claude Opus 4.6 作为首选并不意外：这是 2026 年 2 月 5 日发布的旗舰模型，1M 上下文、$5/$25 每百万 token，在 Anthropic 自家系统卡里，它的网络安全评测已经 "打满"——Cybench 约 100%（pass@30）、CyberGym 66%（pass@1）。能力强、上下文大、能一次吃下整份档案，这三点正好是 "情报分析" 最需要的。
四、两轮采集：从 "偷密码" 到 "偷生活轨迹"
| 轮次 | 采集内容 | 目的 |
|---|---|---|
| 第一轮（广撒网） | 浏览器保存的密码、Cookie、支付卡；Firefox/Thunderbird 数据、Outlook 配置；Microsoft OAuth 令牌；Discord、Telegram、Steam、Battle.net、Roblox 会话；Slack 工作区；SSH 密钥、云配置（含 gcloud）、VPN 配置；本机全部 Wi-Fi 密码（明文导出）；加密钱包与助记词（尝试本地破解）；屏幕截图 | 拿走 "能登录" 和 "能变现" 的一切 |
| 第二轮（补全画像） | 用窃得的 Gmail 权限检索 Amazon、DoorDash、UberEats、Grubhub、Walmart、PayPal 的收据确认住址；拉取外卖订单历史；用 Discord 令牌补全资料；用 Rolimons 查 Roblox 道具估值；整理雇主与工作域名、卡号后四位、文档作者元数据 | 把 "账号" 拼成 "人" |
这里有一个容易被忽略的认知：VOLTA 同时拿走了静态密码和会话令牌。令牌代表 "已经登录、已经授权" 的状态，在有效期内独立于密码存在。这意味着处置时任何 "只做一半" 的动作都会留口子 —— 只改密码，令牌可能还有效；只撤会话，攻击者手里还有旧密码可以重新登录、拿新令牌。
一条外卖收据为什么会重要？因为它把 "一个邮箱账号" 和 "一个物理地址" 连了起来；雇主信息把 "个人身份" 和 "工作访问权" 连了起来；道具估值把 "游戏账号" 标上了价。单个字段都不致命，串起来就是一份可用的人。
五、effort displacement：变化不在速度，在 "挑人"
传统窃密木马把数据回传后，需要人坐下来翻几千条记录，判断谁值得跟进。VOLTA 把这个环节交给了模型，Talos 称之为 effort displacement。
| 环节 | 传统木马 | VOLTA |
|---|---|---|
| 采集 | 人工定义范围 | 同样广，且带会话补全 |
| 分析 | 人工翻拣、凭经验判断 | 模型输出分级与 OPSEC 评估 |
| 排序 | 人工决定先打谁 | 模型直接给出低 / 中 / 高 |
| 决策成本 | 高，且依赖分析师水平 | 低，买家拿到报告即可行动 |
Talos 研究员 Ryan Fetterman 的判断是：更快识别高价值目标，就能在令牌过期、密码被改之前把凭证用掉。这是 "合理的作战优势"，不是这项研究测出来的提升幅度。
还有一层更值得警惕的设计：它是生成器，不是单件武器。低水平攻击者买到它，就获得了原本只有高级威胁行为体才有的目标筛选能力。能力在下沉，门槛在降低。
六、三个 "未证实"，必须说清楚
| 未证实项 | 现状 |
|---|---|
| 是否已在野外使用 | Talos 明确表示没有追踪到实际使用证据，可能是半成品或尚未铺开 |
| 受害者数量 | 未披露，无统计 |
| 组织归因 | 无。Talos 没有指向任何特定团伙 |
这三点不影响它的警示意义 ——代码已经写出来，路径已经跑通。但把 "设计存在" 说成 "已经大规模作恶"，是不准确的。
另外一个技术细节值得一提：VOLTA 是自我删除型样本，跑完就从机器上消失。这既增加取证难度，也意味着 "没找到文件" 完全不能证明没中招。
七、防守侧：三条自查线，一套处置顺序
三条自查线
| 线索 | 怎么查 | 注意 |
|---|---|---|
| 残留文件 | 检查 volta_debug.txt、Identity_Report.txt、AI_Analysis.txt、volta_log.zip、volta_dox.zip、volta_doxnet.zip | 无结果不等于安全，自删除会带走证据 |
| 样本哈希 | 用 SHA-256 在 EDR 或 Sysmon 事件 1（进程创建）里检索 | 命中价值高，未命中不能排除变体 |
| 异常行为 | 非开发进程拉起无头 Chrome；主机对 openrouter.ai 的异常外联（Sysmon 事件 22 的 DNS 查询 + 事件 3 网络连接） | 都是线索不是结论，需结合父进程判断 |
Talos 明确建议保留 %APPDATA%/volta_debug.txt 这份采集日志 —— 它能告诉你哪些账号、哪些密钥需要处理。这份日志本身也是敏感材料，要按证据管理。
处置顺序
- 隔离疑似失陷主机，按既有取证流程保全证据；
- 所有账号操作在一台确认干净的设备上做，避免新密码被二次窃取；
- 改密码与撤会话在同一时间段内完成：改密时勾选 "退出其他设备"，没有该选项的，去安全设置里手动撤销会话与第三方授权；
- 轮换 SSH 密钥、云厂商凭据（含 gcloud）、Wi-Fi 密码，检查网络接入客户端配置里的认证信息；
- 检查邮箱是否被加了转发或过滤规则、MFA 是否绑定了陌生设备；
- 助记词曾以明文落盘的，钱包视为完全泄露，在新设备上生成新钱包并转移资产；
- 无法确认系统完整性时，重装系统。
长期加固
- 关键账号启用强 MFA，优先硬件密钥或认证器，减少纯短信依赖；
- 浏览器不长期保存邮箱、支付、钱包类密码；
- 限制不可信进程以 --headless 拉起 Chrome（这是令牌窃取的依赖路径之一）；
- 对员工做钓鱼演练与最小权限管控；
- 把 Talos 公布的 IOC、域名、哈希、Telegram 通道特征导入安全设备。
八、三句话
第一，AI 没有改变黑客的目标，改变的是他们的速度。偷还是那些东西，但 "挑谁先下手" 从几小时压缩到几秒。
第二，这条链上真正的薄弱点不是模型，是数据。收据、订单、元数据这些 "不敏感" 的东西，恰恰是把账号变成人的粘合剂。
第三，防守的重心要从 "改密码" 移到 "撤会话"。密码可以换，令牌和 Cookie 不会自动失效，这个时间差就是攻击窗口。
【常见问题】
问题 1：VOLTA-AUTODOXER 是什么？它和普通窃密木马有什么区别？
回答 1：VOLTA-AUTODOXER 是思科 Talos 于 2026 年 10 月 31 日披露的一款 Windows 窃密木马，采用生成器模式按订单编译、执行后自我删除。它和普通窃密木马的区别在于多了一层 AI 评估：窃取数据后把档案送给大模型，让模型判断受害者的资产价值和安全习惯，从而完成优先级排序。
问题 2：那段 240 词提示词为什么能让 Claude Opus 4.6 做受害者分级？
回答 2：因为提示词把任务包装成了 "法医情报分析师起草目标评估"，只描述分析动作，不出现任何恶意字眼。它要求输出执行摘要、此人职业、"值多少钱"、OPSEC 摘要，还要求跨字段关联线索，并以 "挖深不要挖宽" 约束范围。模型看到的是一个结构化分析任务，而不是 "帮我挑目标"，这也是它写得 "很小心" 的原因。
问题 3：Claude Opus 4.6 被拒绝后，木马会怎么办？
回答 3：代码内置了三级降级链：首选 anthropic/claude-opus-4.6，检测到 "I can't" 之类拒绝措辞后切到 moonshotai/kimi-k2，再不行切到 google/gemini-2.5-flash。这套设计说明作者预先假定会被拒绝。但公开分析没有给出降级实际被触发或成功绕过的证据，属于架构层面的观察。
问题 4：VOLTA-AUTODOXER 的 "变现价值分级" 依据哪些数据？
回答 4：依据两轮采集的结果。第一轮拿浏览器密码、Cookie、支付卡、OAuth 令牌、Discord/Telegram/Steam 会话、SSH 与云配置、Wi-Fi 密码、加密钱包助记词；第二轮用窃得的 Gmail 权限检索 Amazon、DoorDash、UberEats 等收据确认住址，拉外卖订单历史，用 Discord 令牌补全资料，用 Roloblox 道具估值站点评估资产。分级就是把这两轮结果串起来得出的。
问题 5：普通用户怎么判断自己可能中了 VOLTA-AUTODOXER？
回答 5：三条线一起看：一是残留文件，检查 volta_debug.txt、Identity_Report.txt、AI_Analysis.txt 等文件名；二是哈希比对，用样本 SHA-256 在 EDR 或 Sysmon 进程创建事件里检索；三是异常行为，关注非开发进程拉起无头 Chrome、主机异常访问 OpenRouter 接口。注意它是自我删除型木马，没找到文件不代表安全，怀疑中招应按 "改密码 + 撤会话 + 轮换密钥" 一次性处置。
【参考资料】
[2026-11-09]（VOLTA：把 AI 变成 "情报分拣员" 的 Windows 窃密木马）FreeBuf
[2026-11-03]（VOLTA Infostealer Uses AI to Rank Victims by Value）Zeniteq
[2026-11-03]（VOLTA 窃密木马让大模型参与受害者画像：一线团队的自查、处置与加固）InfoQ 写作社区
[2026-11-02]（VOLTA Infostealer: How the Malware Asks an AI Model to Rank Its Victims）Brandefense
[2026-11-01]（黑客把 Claude 装进木马：Volta 会自动给受害者建档分级）钛媒体
[2026-02-05]（Introducing Claude Opus 4.6）Anthropic
【免责声明】
本文依据思科 Talos 公开披露的技术分析及 FreeBuf、InfoQ、钛媒体、Zeniteq、Brandefense 等公开报道整理，属安全资讯与防护科普，不涉及样本制作、传播或利用方法。文中样本哈希、文件名、外联端点均引自公开报告，仅用于防御侧检测比对，不代表全部变体。Talos 明确表示未追踪到该木马在野使用的证据，也未给出受害者数量与组织归因，任何 "已大规模作恶" 的说法均缺乏依据。文中处置建议为通用应急思路，具体操作请以所在单位安全团队与厂商正式公告为准，不构成法律或合规意见。