Cisco Talos, dört dil modeline danışarak karar veren zararlı yazılım buldu

Cisco Talos araştırmacıları, yapay zeka bileşeni taşıyan zararlı yazılımları sınıflandırmak için geliştirdikleri açık kaynaklı çerçeveyi pazartesi günü paylaştı. Çerçevenin adı CAIRN (Cognitive Artifact Intelligence Research Network); adını yürüyüşçülerin patikayı işaretlemek için dizdiği taş yığınlarından alıyor.

CAIRN, zararlı yazılım örneklerinin üst verisinde yapay zeka entegrasyonuna işaret eden izleri tarıyor, her örneğe bir kimlik atıyor ve kütüphanedeki diğer örneklerle ortak özelliklerine göre gruplandırıyor. Çerçevenin geliştirilmesini yürüten güvenlik araştırmacısı Ryan Fetterman'ın Wired'a anlattığına göre temel fikir şu: yapay zeka kullanımı parmak izi gibi kalıntılar bırakıyor, bu da örnekleri izlemek ve saldırganların neyi denediğini görmek için bir sinyal veriyor.

Dört modelden oluşan bir karar mekanizması

CAIRN'in bulduğu örneklerden biri CLOSEDQUORUM adı verilen bir Windows zararlısı. Yazılım, hedef sistemde sıradaki adımını belirlemek için DeepSeek, Qwen, Mistral ve Google Gemini'ye danışıyor ve çıkan uzlaşıya göre hareket ediyor. Servislerden biri erişilemez olsa bile diğerlerini sorgulamayı sürdürüyor; bu yedeklilik sistemi tamamen kapalı hale getiriyor, insan girdisi için hiçbir mekanizma bırakmıyor.

Cisco Talos, zararlı ile 2025'e uzanan kredi kartı dolandırıcılığı forumları arasında bağlantılar gördü. Yazılım giriş bilgilerini ve kripto para çalmak üzere tasarlanmış. Araştırmacılar yazılımı kimin geliştirdiğini ya da gerçek saldırılarda kullanılıp kullanılmadığını doğrulayamadı.

Belgelenenden daha geniş bir alan

Temmuz 2025'te Ukrayna siber güvenlik müdahale birimi CERT-UA, "LAMEHUG" adlı zararlıyı kullanan bir kimlik avı kampanyası konusunda uyarmıştı; o yazılım komutlarını Hugging Face API üzerinden Qwen2.5-Coder-32B-Instruct modelinden alıyordu. Fetterman'ın Wired'a aktardığına göre, bu yaz geçmişe dönük tarama yaptığında yalnızca dokuz kadar adlandırılmış aile bulabildiğini, bazılarının da araştırma amaçlı kavram kanıtı olduğunu söylüyor. CAIRN'le çalıştığı son aylarda ise 20 kadar yeni örnek daha tespit etti. Fetterman'a göre saldırganlar açısından iş büyük ölçüde deneysel, ama tablo kamuya açıklanandan daha karmaşık.

Kaynaklar: Cisco Talos, CAIRN tanıtımı, CLOSEDQUORUM incelemesi, Wired'ın Fetterman ile görüşmesi.