新型 VOLTA 信息窃取软件利用 Claude 和 Gemini 等人工智能对受害者价值进行分级
2026年11月5日 · 阅读 1 分钟
也发布于 日本語
网络安全研究人员发现了一种名为 VOLTA-AUTODOXER，简称 VOLTA 的新型 Windows 信息窃取恶意软件。该软件利用大语言模型来根据货币化价值对窃取的受害者数据进行分级。
VOLTA 能够从基于 Chromium 的网络浏览器中获取密码和 Cookie，从 Outlook 配置文件和 Slack 工作区中提取数据。它还可以窃取支付卡信息、加密货币钱包种子短语、Discord、Telegram、Steam 和 Roblox 的会话，以及 Microsoft OAuth 令牌、SSH 和云提供商密钥、Wi-Fi 配置文件和屏幕截图。
该恶意软件会构建一个包含地理位置、家庭地址、雇主及其域名、推断的出生年份、银行卡最后四位数字、Slack 工作区、文档作者元数据、iPhone 备份指标以及实时 Roblox 账户估值的结构化证据包。为了增强信息的价值，它会利用窃取的会话访问权限在受害者的 Gmail 账户中搜索 Amazon、DoorDash、Uber Eats、Grubhub、Walmart 和 PayPal 的收据，以核实家庭地址。
收集到的信息通过 OpenRouter 统一大语言模型 API 网关和路由服务发送至人工智能系统。该系统默认请求 Anthropic 的 Claude Opus 4.6，如果失败则依次回退到 Moonshot AI 的 Kimi K2 和 Google 的 Gemini 2.5 Flash。VOLTA 采用多模型架构，如果检测到模型响应中包含“我不能”或“我无法”等拒绝词汇，则会切换到链条中的下一个模型。
该软件包含一个 240 个单词的系统提示词，要求模型扮演“取证情报分析师”的角色。模型必须仅基于证据包中的事实起草目标评估报告，输出内容包括一个名为“他们的价值”的部分，将资产按低、中、高三个等级进行货币化分级，以及一个关于受害者安全状况和密码卫生习惯的“他们的操作安全”部分。
数据通过 Telegram 在三个不同阶段外传。VOLTA 使用包含六个插槽的模板，在构建时填充 Telegram 频道、API 密钥等设置。这表明作者可能在向客户推销构建套件，或将其作为定制工具为每个订单编译自定义二进制文件。Cisco Talos 指出，这种 AI 档案功能旨在减轻操作者的分析工作，而非提高速度或规模。