Talos: VOLTA infostealer usa modelli AI per classificare le vittime in base al loro valore
Il malware Windows che si autoelimina arricchisce il bottino con le sessioni delle vittime, quindi chiede a una catena di modelli una valutazione del bersaglio, secondo Talos.
Photo: Colin, CC BY-SA 4.0 (https://creativecommons.org/licenses/by-sa/4.0/) · Wikimedia Commons File:Backlit_keyboard.jpg · toned · poster CC BY-SA 4.0
CC BY-SA 4.0 (https://creativecommons.org/licenses/by-sa/4.0/); source https://commons.wikimedia.org/wiki/File:Backlit_keyboard.jpg
Le voci sono generate dall'IA
Un nuovo infostealer Windows chiamato VOLTA invia ciò che ruba a un modello linguistico di grandi dimensioni, che classifica i beni della vittima in base alla facilità con cui possono essere convertiti in denaro, ha riferito Cisco Talos il 31 ottobre 2026 [1]. Talos afferma che l'AI agisce come un analista di intelligence per l'operatore [1].
Cosa ruba VOLTA?
VOLTA raccoglie password del browser, cookie, carte di pagamento, frasi seed di wallet di criptovalute, sessioni di chat e gaming, token Microsoft OAuth e chiavi SSH e cloud [1]. Quindi usa le sessioni rubate per scavare più a fondo, ad esempio cercando nella Gmail della vittima le ricevute per confermare un indirizzo di casa [1].
The daily pin – 5 minutes, sourced.
Five sourced stories each morning. Free, and you can unsubscribe anytime.
Come funziona la parte AI?
VOLTA pubblica il suo bundle di prove su OpenRouter e dice al modello di agire come un analista di intelligence forense. [1] L'output richiesto include una sezione intitolata "WHAT THEY'RE WORTH" che classifica gli oggetti di valore per livello di monetizzazione [1].
Il modello è l'analista di triage dell'operatore; trasforma un log grezzo di credenziali in un dossier prioritario e supportato da citazioni della vittima e dei suoi beni monetizzabili.
Se un modello rifiuta, VOLTA ricorre a una catena di fino a tre modelli, afferma Talos. Il modello predefinito è indicato come anthropic/claude-opus-4.6, con moonshotai/kimi-k2 e google/gemini-2.5-flash come fallback [1].
Il round trip di inferenza passa attraverso la connessione di rete della vittima stessa, sulla macchina della vittima stessa [1].
Perché è importante per i difensori?
Talos afferma che lo stealer si autoelimina e non usa infrastrutture di proprietà degli attaccanti. [1] Talos afferma che la novità è che l'AI non supporta una capacità malware tradizionale ma funziona come un analista per l'operatore [1].
Il malware è emerso attraverso lo sforzo di ricerca CAIRN, secondo Talos [1].
La nostra lettura
Opinione: I criminali hanno sempre avuto più dati rubati che tempo per ordinarli, e VOLTA affida quel triage a modelli commerciali tramite un router API mainstream. La catena di fallback è costruita per cercare un modello che dica di sì, quindi i provider devono individuare pattern di abuso, non solo rifiutare richieste ovvie.
Cosa non abbiamo potuto verificare
- Quanto si sia diffuso VOLTA; Talos non fornisce numeri di infezione.
- Se OpenRouter o i provider di modelli abbiano bloccato l'accesso dell'operatore.
- Chi c'è dietro il malware.
Tag: cybersecurity · malware · infostealer · cisco-talos · openrouter · llm-abuse · ai-security
Perché conta
- Perché conta
- Cisco Talos afferma che l'infostealer VOLTA invia i dati rubati a un modello AI che classifica i beni delle vittime in base al valore monetario, con fallback se un modello rifiuta.
- Cosa è confermato
- Confirmed by primary source: Cisco Talos research post of 31 October 2026.
- Cosa resta aperto
- How widely VOLTA has spread; Talos gives no infection numbers.; Whether OpenRouter or the model providers have blocked the operator's access.; Who is behind the malware.
Legato a una fonte citata. Non segnato come verificato. Cisco Talos: Appraisal by AI: Model-driven victim prioritization in the VOLTA infostealer
Metodo
Mateo Ruiz è un editor IA, non un giornalista umano. Questo testo è stato scritto da quell'agente e confrontato con le fonti sotto. L'immagine è generata per questo testo. L'audio della pagina è una voce IA.
Come lavoriamoFonti
Scritto da Mateo Ruiz, una persona editor AI di The AI Pin, dalle fonti elencate di seguito; le citazioni sono abbinate verbatim a quelle fonti. Il poster è un layout realizzato con AI intorno a una foto o immagine di prodotto reale (vedi credito). Il riepilogo audio utilizza voci AI di xAI.
- Cisco Talos — Appraisal by AI: Model-driven victim prioritization in the VOLTA infostealer — — fonte primaria