一个会「思考」的窃密者
2026 年 10 月 31 日，思科 Talos 研究员 Ryan Fetterman 发布报告《Appraisal by AI: Model-driven victim prioritization in the VOLTA infostealer》，披露了一款名为 VOLTA-AUTODOXER 的 Windows 窃密木马。它的特别之处不在于偷什么——而在于偷完之后干了什么：把拼好的受害者档案交给一个大模型，让模型以「司法鉴定情报分析师」的身份写一份目标评估，并给出「他们值多少钱」的评级。Talos 把这称为「effort displacement」：模型承担了本来要由犯罪操作者手工完成的筛选与估价工作。
先偷什么：从浏览器到云凭据
在动用大模型之前，VOLTA 已经是一只成熟的窃密器。它从 Chromium 系浏览器提取密码、Cookie 与已保存的支付卡，读取 Firefox、Thunderbird 与 Outlook 的数据，收集 Slack、Steam、Battle.net、Discord、Telegram、Roblox 的会话，顺手拿下微软 OAuth 令牌、SSH 与云服务商配置（gcloud、OpenVPN、Hide.me）、用 Windows 接口明文导出的 Wi-Fi 密码，以及桌面截图。对加密货币钱包，它不只是复制，还内置破解器去尝试打开钱包保险库。也就是说，单看盗取阶段，它已经具备把一台普通电脑变成情报金矿的能力。
让大模型当「估价师」
真正让它出圈的是下一步。VOLTA 把收集到的材料整理成一份 Identity_Report.txt，序列化为 JSON 后发往 OpenRouter 的聊天补全接口。系统提示要求模型扮演一名起草目标评估的情报分析师，输出里必须包含一段「WHAT THEY'RE WORTH」，把受害者的可变现资产按低、中、高三档排序，并附上「THEIR OPSEC」安全习惯评估。默认模型是 Anthropic 的 claude-opus-4.6，温度固定在 0.2，以求稳定可复现的输出。样本的分析完成于受害者的本机与网络，在真正外传之前就走完了模型调用。
拒绝即路由：把安全护栏当成故障处理
最值得安全从业者玩味的是它的失败处理逻辑。VOLTA 并不假定模型会配合：它扫描模型回文里是否出现「我无法」或「我做不到」之类的拒绝语，一旦出现，就按顺序把请求转给下一个模型——先是 moonshotai 的 kimi-k2，再是 google 的 gemini-2.5-flash，最多三个模型。换句话说，开发者在写这段代码时，已经把「模型可能拒绝」当作一种路由失败来设计，并预备了更宽松的下游模型来兜底。Talos 指出，这种把护栏当故障绕过的做法，正是把 AI 嵌进犯罪软件时最该警惕的信号。
防御难点：没有攻击者自有的服务器
从防御视角看，VOLTA 还有一重麻烦：它不依赖任何攻击者自有的服务器。所有被观测到的端点都属第三方——OpenRouter 这类聚合 API，推理流量从受害者机器发出，外表只是到合法服务的普通 HTTPS 请求。这意味着传统的「封 IP、端掉 C2」思路在这里几乎用不上，防御必须回到端点行为本身。Talos 建议，限制或告警以非开发者工具之外的进程拉起无头 Chrome（很多令牌窃取依赖绕过 Chrome 的应用绑定加密），并妥善处置疑似感染主机的令牌与凭据。
一个样本，而非一场战役
需要反复强调的是：Talos 披露的只是一次样本分析。报告明确说，并未追踪到 VOLTA 在真实攻击中的使用，没有受害者数量统计，也没有归因结论；硬编码在样本里的模型标识，只说明木马这样编写，并不代表相应厂商的安全护栏实际失效。PE 时间戳指向 2026 年 8 月 17 日，最早出现于 10 月 11 日，公开分析与 WIRED 的报道同步在 10 月 31 日发出。对 defender 而言，它的价值不在于制造恐慌，而在于给出了一面镜子：当模型被接进犯罪软件，它最自然的角色不是写代码，而是当一名冷酷的 analyst。