VOLTA : un malware qui utilise l'IA pour trier ses victimes
Original : Malware uses LLMs to rank victims by how much they're worth
Pourquoi c'est important
L'IA devient un outil d'analyse criminelle autonome, sans infrastructure dédiée.
Le malware VOLTA-AUTODOXER vole identifiants, portefeuilles crypto et sessions, puis envoie ces données à un LLM via OpenRouter pour classer les victimes selon leur valeur monétaire, avec une chaîne de repli sur 3 modèles en cas de refus.
Identifié par l'équipe Talos Intelligence de Cisco dans le cadre du programme de recherche CAIRN, VOLTA-AUTODOXER est un infostealer Windows auto-supprimant qui intègre une couche d'analyse par intelligence artificielle. Après avoir exfiltré mots de passe, cookies, cartes bancaires, phrases de récupération de portefeuilles crypto, tokens OAuth Microsoft, clés SSH, sessions Discord, Telegram, Steam et Roblox, ainsi que des captures d'écran, le malware constitue un « dossier structuré » sur chaque victime.
Ce dossier inclut géolocalisation, employeur, année de naissance estimée, espaces de travail Slack et même une valorisation du compte Roblox. VOLTA va plus loin en exploitant les accès volés : il fouille le Gmail de la victime pour confirmer son adresse postale via des reçus d'achat, et consulte l'historique UberEats et DoorDash. Le tout est envoyé à OpenRouter avec un prompt demandant au modèle d'agir en « analyste de renseignement forensique ». La sortie attendue comporte deux sections : « WHAT THEY'RE WORTH » (assets classés par valeur) et « THEIR OPSEC » (évaluation de la posture de sécurité de la victime).
Le modèle par défaut est claude-opus-4.6 d'Anthropic. Si celui-ci refuse, VOLTA bascule automatiquement sur kimi-k2 de Moonshot AI, puis sur Gemini 2.5 Flash de Google. La température est fixée à 0,2 pour des résultats déterministes. Aucune infrastructure propre à l'attaquant n'est nécessaire : tout transite par des API tierces.