Cisco Talos ha lanzado CAIRN, un kit de herramientas de código abierto diseñado para cazar, clasificar y rastrear malware integrado con IA examinando los marcadores digitales que dejan los desarrolladores.

La Red de Investigación de Inteligencia de Artefactos Cognitivos (CAIRN) busca plantillas de prompts, puntos finales de proveedores, prefijos de claves API, términos de jailbreak y lógica de orquestación sin necesidad de descargar o ejecutar binarios.

El lanzamiento también reveló CLOSEDQUORUM, que Talos describe como el primer implante de Windows documentado públicamente que delega decisiones tácticas de comando y control (C2) a la inteligencia artificial.

En lugar de esperar instrucciones de un operador humano o de un servidor C2 dedicado, el malware consulta hasta cuatro modelos de lenguaje comerciales —DeepSeek, Qwen, Mistral y Google Gemini— y utiliza una votación plural para elegir su siguiente acción. Talos no ha confirmado un despliegue en el mundo real, y la versión pública no es funcional.

No obstante, el análisis estático expuso un bucle de decisión autónomo completo. CLOSEDQUORUM recopila detalles del sistema, inserta ese contexto en prompts estructurados y pide a cada modelo que seleccione acciones restringidas, como el robo de datos, el establecimiento de persistencia o la inyección de código.

La respuesta ganadora puede activar el volcado de memoria de LSASS, la recolección de contraseñas del navegador, el robo de billeteras de criptomonedas, el process hollowing, la inyección APC o mecanismos de persistencia de Windows. Puede enviar datos robados cifrados a través de Discord y continuar operando sin tareas asignadas en vivo.

Herramienta CAIRN para rastrear malware de IA

Según el análisis técnico publicado por Cisco Talos, CAIRN fue creado para encontrar esta clase de amenazas emergentes a escala. Aplica hasta 24 filtros de adquisición a los metadatos de cadenas extraídas, etiquetas de antivirus y comportamiento en sandbox.

Los filtros buscan dominios como api.openai.com y api.anthropic.com, librerías de Python incluyendo LangChain y LiteLLM, componentes de inferencia local como Ollama y llama.cpp, y sintaxis de llamadas a herramientas estilo agente junto con terminología ofensiva. Los candidatos entran en un corpus de SQLite para un escaneo automático con YARA.

El kit de herramientas organiza las detecciones en tres niveles. El Nivel 1 identifica artefactos de IA primitivos, incluyendo puntos finales o sintaxis de llamada a funciones. El Nivel 2 añade contexto conductual vinculando artefactos con actividades como la evasión de análisis de IA o métodos de C2 conocidos.

El Nivel 3 atribuye muestras a familias de malware confirmadas utilizando huellas digitales validadas mediante ingeniería inversa. Las reglas actualizadas pueden volver a escanear el corpus local e identificar retroactivamente muestras más antiguas.

CAIRN también combina grafos de relaciones con el descubrimiento semántico. Su explorador conecta muestras a través de dominios compartidos, certificados, hashes de importación, remitentes y proveedores de IA, revelando variantes e infraestructura de campañas.

Para vínculos menos obvios, CAIRN construye documentos de metadatos a partir de nombres de antivirus, URLs, recursos PE y observaciones de sandbox, y luego utiliza embeddings, HDBSCAN y UMAP para exponer muestras similares y valores atípicos. Talos subraya que los clústeres generan pistas, no una atribución definitiva.

Esa advertencia es importante porque las cadenas relacionadas con la IA aparecen cada vez más en software legítimo. Los paquetes de PyInstaller pueden exponer todo un entorno de desarrollo, mientras que los binarios de Tauri y Go pueden crear coincidencias estructurales que generen resultados ruidosos en el Nivel 1 o 2. Por lo tanto, CAIRN filtra grandes colecciones antes de la ingeniería inversa en lugar de sustituirla.

Los hallazgos señalan un cambio hacia la orquestación de ataques autónomos. LAMEHUG utilizó el modelo Qwen de Alibaba a través de Hugging Face para generar comandos durante ataques reportados en 2025, pero CLOSEDQUORUM va más allá al asignar una fase de C2 delimitada a un panel de modelos. Bloquear solo los dominios de IA es impracticable porque las aplicaciones legítimas utilizan los mismos servicios.

En su lugar, tú como defensor deberías correlacionar el tráfico inesperado de múltiples proveedores con el acceso a LSASS, la inyección de procesos, cambios de persistencia y comunicaciones de Discord.

Aunque CLOSEDQUORUM no es una campaña probada, CAIRN te ofrece a ti y a otros defensores un marco práctico para rastrear el malware dirigido por máquinas. Esa visibilidad podría volverse cada vez más importante a medida que los atacantes automaticen más el ciclo de vida de la intrusión.