240词提示词，让AI给受害者资产排价

一款名为VOLTA-AUTODOXER（简称VOLTA）的Windows窃密木马被安全研究人员发现，它会把偷来的数据交给大语言模型，按变现价值给受害者排个高低。

和其他窃密家族一样，VOLTA能抓取基于Chromium内核浏览器的密码和Cookie，Outlook配置文件和Slack工作区数据，支付卡信息，加密货币钱包助记词，Discord、Telegram、Steam和Roblox的会话，微软OAuth令牌，SSH与云服务商密钥，Wi-Fi配置，以及屏幕截图。

思科Talos研究员瑞安·费特曼（Ryan Fetterman）说：“VOLTA会围绕机器背后的人构建一份结构化的证据包。”这份证据包包含地理位置与家庭住址、雇主及雇主域名、推断出的出生年份、银行卡后四位、Slack工作区、文档作者元数据、iPhone备份痕迹，以及一个实时的Roblox账户估值。

为了让这些信息更值钱，木马会利用窃取到的会话访问权限翻查受害者的Gmail，提取亚马逊、DoorDash、Uber Eats、Grubhub、沃尔玛和PayPal相关的邮件，用收据来佐证家庭住址。

信息收集完毕后，证据包被序列化，通过统一的大模型API网关与路由服务OpenRouter，连同一段系统提示词一起送入AI系统分析。请求默认发往Anthropic的Claude Opus 4.6，失败则回退到月之暗面的Kimi K2和谷歌的Gemini 2.5 Flash。

Talos表示：“VOLTA采用多模型架构，在遇到模型拒绝时能弹性回退，会检查每个回复中是否出现‘我不能’或‘我无法’这类措辞，然后再传给最多三个模型的链条。”

VOLTA内置一段240词的系统提示词，要求模型扮演“取证情报分析师”，基于结构化证据包中的数据起草目标评估。提示词中有一句写道：“证据包是唯一允许的事实来源；你的训练知识绝不能提供关于该对象的任何事实。”

Talos解释说：“要求的输出包含一个名为‘他们值多少钱’的章节，按变现能力把贵重资产分为低、中、高三档，还有一个关于‘他们的操作安全’的章节，评估受害者的安全态势和密码卫生习惯。”

“模型就是操作者的分诊分析师；它把一份原始的凭据日志，变成一份按优先级排序、附有引证的受害者及其可变现资产档案。”

数据外传通过Telegram分三个阶段进行：

• 窃密程序运行后立即发送，包含浏览器密码、Cookie、支付卡、加密货币钱包、Discord、Steam和Roblox令牌、Wi-Fi密码及截图
• AI调用之后发送，包含捕获的数据和LLM分析结果
• 实时富化步骤之后发送，包含Gmail收据和订单历史

此外，VOLTA使用一个含六个槽位的模板，在构建时填入内容，包括用于数据外传的Telegram频道、API密钥和其他设置。这种做法暗示，木马作者可能是在向潜在客户兜售构建工具包，也可能将其作为自己掌控的定制工具，为每一笔订单编译专属二进制文件。

Talos说：“如果VOLTA确实是一款商品化恶意软件，那么AI档案能力就不是作者为自己的行动发明的。它是一项功能，让任何技术水平不高的客户都能把它对准受害者，然后开始在Telegram收件箱里收到排好序的目标评估。”

“VOLTA是一款成熟的窃密程序，后期加了一层AI，目的只有一个：把分析工作从操作者身上卸下来。这里AI改进的轴心不是速度或规模，而是工作量转移。”

这一披露之际，对生成式AI的对抗性采用正迅速成为新常态，威胁行为者把这项技术纳入工作流，开发定制工具或寻找有价值的数据，从而提高攻击得手的概率。

Zscaler ThreatLabz表示：“生成式AI技术也非常适合为分类或内容搜索的目的检查海量数据。一旦攻击者获得了对受害者系统的访问权限，生成式AI就可以用来搜索受害者系统可访问的所有材料，寻找最有价值或最敏感的数据，以便在攻击的下一阶段窃取或加密。”

勒索软件行为者可以利用这种方法，从被攻陷的网络中识别并获取最敏感的数据，最大化受害者付钱的可能性。

上周，Talos还详细披露了一个名为NIK C2的AI赋能框架，它赋予攻击者远程访问、凭据窃取、键盘记录、防御规避、监视和勒索软件能力，同时集成一个OpenAI客户端，在受感染的会话内把窃取的数据送去AI分析。

NIK C2是一款基于Go语言的Windows远程访问工具，能对受感染主机保持持久控制，支持由命令与控制（C2）服务器发送的52条以上命令，用于收集各类数据。

OpenAI集成值得注意的地方在于，威胁行为者可以滥用受害者自己的OpenAI API密钥来执行AI驱动分析。具体来说，程序会检查操作者是否提供了API密钥；如果没有，它就在受害者的环境变量中扫描“OPENAI_API_KEY”字符串并拿来使用。

这属于LLMjacking的一种形式：恶意行为者盗用另一方的AI模型访问权限来运行自己的操作——在这里是针对受害者本身——而合法所有者为此支付算力费用。此外，它还让攻击者通过模糊请求发起者的身份来规避检测。

Talos说：“这种回退不是API密钥解析的备份机制。它是一种带有重大运营影响的有意设计。如果受害者在自己的机器上配置了OpenAI账户，该账户的API密钥就会被用来为攻击者的AI推理买单。”

“NIK C2重塑了对手的技战术，把收集和利用压缩进一个连续的会话，实际上抹掉了历史上给防御者提供关键检测窗口的离线处理延迟。”