VOLTAは、AIに被害者の値付けをさせるWindows向け窃取型マルウェアだ。10月31日、Cisco Talosはその手口をまとめた調査報告を公開した。まずパスワード、セッション、ウォレットを盗み、集めた資料を大規模モデルに渡して、被害者にいくらの価値があるか、セキュリティ習慣はどうかを評価させる。新しいのは分業だ。モデルは侵入を担わず、最も手間のかかる選別だけを代行する。
窃取の後、モデルは「いくらか」を先に見る
VOLTAは1回の実行で、ほぼデジタル生活の全体をカバーする。ブラウザのパスワード、Cookie、銀行カード、Outlook、Slack、Discord、Telegram、Steam、Robloxのセッション、OAuthトークン、SSHとクラウドの設定、Wi-Fiのパスワード、スクリーンショット。さらに内蔵の暗号資産ウォレット保管庫を解読する。その後、盗んだセッションで情報を補う。Gmailの領収書で住所を確認し、フードデリバリーの注文履歴を取り寄せる。資料はIdentity_Report.txtにまとめられ、OpenRouter経由でモデルに送られる。プロンプトは2つの出力を求める。換金のしやすさで資産を低・中・高に分ける「いくらか」と、パスワード習慣を評価する「相手のセキュリティ体制はどうか」だ。
モデルが拒否すれば、次に切り替える
VOLTAのモデル設定は率直だ。既定ではAnthropicのClaude Opus 4.6を使い、「I can't」のような拒否表現を検出すると、月之暗面のKimi K2、GoogleのGemini 2.5 Flashへ順に切り替え、温度は0.2に固定される。Talosは、このフォールバックの連鎖が、作者がモデルのガードレールにぶつかることを想定していた証拠だと指摘する。ガードレールが狙って迂回されたのは初めてではない。Claudeのテキスト透かしの迂回方法もパラメータ水準の抜け穴を利用していた。推論は被害者自身のマシンで行われ、評価結果はAI_Analysis.txtとして窃取記録とともに外部へ送られる。
Talosが確認していない3つのこと
この報告を「すでに大規模に流行している」と読んではいけない。Talosが分析したのは1つのサンプルで、初出は10月11日。拡散方法、被害者数、実際の攻撃での使用、どのモデルが実際に評価を完了したかは示されていない。ビルド時に差し込む6つの設定項目から、Talosは「買い手向けの生成器モデル」だと推測したが、それは推測にすぎない。攻撃者自身のインフラも見つかっていない。
防御策も具体的だ。Chromeをヘッドレスモードで起動できるプロセスを制限すれば、Chromeのアプリバインド暗号化を迂回する経路をふさげる。開発者用でないプロセスのヘッドレス起動には警告を出す。認証情報は可能な限りハードウェアに支えられた保管場所に置く。侵害が疑われる場合は、まずvolta_debug.txtのログを保全し、トークンを無効化してパスワードを変更する。シードフレーズがディスク上に平文で置かれていたウォレットは完全に侵害されたものとして扱い、隔離されたデバイスで生成したシードで移行する。Cursor拡張機能マーケットに現れた悪意あるClaude Codeバージョンの事例も、SSH鍵が触られたら最悪を想定して確認すべきだと教えている。
