10月31日、madrobot.blogが「New malware asks Claude to work out what its victims are worth」と題した記事を公開した。この記事では、盗んだ被害者情報をAnthropicのClaudeに渡して「ターゲット査定レポート」を自動生成する新型インフォスティーラー「VOLTA」について詳しく紹介されている。
盗むだけで終わらない——AIによる被害者の「価値判定」
従来のインフォスティーラー（パスワードや認証情報を盗むマルウェア）は、盗んだデータを攻撃者に送りつけて終わりだ。VOLTAはそこに一工程を追加した。被害者に関するあらゆる情報をまとめてClaudeに投げ、「この人物はいくら価値があるか」を書面で評価させる。
Cisco Talosが10月26日に発表した分析レポートによると、このマルウェアは内部で「VOLTA-AUTODOXER」と名乗り、実行後に自身を削除するWindowsマルウェアだ。最初のサンプルは10月11日に確認された。Talosは独自のAI悪用マルウェア捕捉基盤「CAIRN」でこれを発見した。
インフォスティーラー自体は近年急速に市場が拡大しており、RedLine・Raccoon・LummaといったMaaS（Malware-as-a-Service）型のファミリーがダークウェブ上で広く流通している。VOLTAはこの流れの延長線上にあるが、「盗む」だけでなく「評価する」というAI活用の一手を加えた点で、従来のスティーラーとは一線を画す。
二段階の情報収集
VOLTAの動作は二段階に分かれている。
第一段階は典型的なスティーラーの動作だ。ブラウザのパスワード・Cookie・保存済みカード情報、Microsoft OAuthトークン、暗号通貨ウォレットのシードフレーズ、Discord・Telegram・Steam・Robloxのセッション、クラウドプロバイダのAPIキー、保存済みのWi-Fiパスワードを根こそぎ奪う。
第二段階が新しい。盗んだセッション情報を使って被害者のアカウントに再ログインし、追加情報を能動的に掘り起こす。被害者自身のGmailアクセスでAmazon・DoorDash・Uber Eats・Grubhub・Walmart・PayPalの領収書メールを検索して自宅住所を確認し、フードデリバリーの注文履歴を引き、RobloxアイテムはトレーディングサイトのRolimons経由でリアルタイムに値付けする。最終的に、自宅住所・勤務先・推定生年・カード下4桁を含むプロファイルが完成する。
Claudeへの「ターゲット査定」プロンプト
このプロファイルはJSON形式でOpenRouter（複数のAIプロバイダへリクエストを中継するサービス）経由でClaudeに送られる。デフォルトモデルはClaude Opus 4.6、temperature（出力のランダム性を制御するパラメータ）は0.2と低めに設定されており、回答の一貫性を重視している。
システムプロンプトはモデルを「構造化された証拠束からターゲット査定書を作成するフォレンジック情報アナリスト」として位置づけ、以下を含む10のセクションから成るレポートを要求する。
- 「WHAT THEY'RE WORTH」: 暗号資産・Robloxアカウント・カード・各種アカウントをLow/Medium/Highの3段階で評価
- 「THEIR OPSEC」: パスワード管理の質、二要素認証の利用状況、プライバシーツールの使用状況
プロンプトには「フィールドをまたいでドットをつなげ」という指示があり、具体例として「Wi-Fiパスワードが苗字と一致する」「.eduメールアドレスが学校のLMSと一致する」といった推論を求めている。「広く浅くではなく、深く掘れ。率直に、具体的に、正確に」とも記されている。
なお、AIへの呼び出しは被害者自身のマシンから実行される。
拒否への備え——フェイルオーバーチェーン
VOLTAの設計で特に興味深い点は、モデルに断られることを最初から想定していることだ。回答に「I can't」「I'm not able」などのフレーズが含まれていた場合、次のモデルへ自動でフォールバックする。順序は以下のとおりだ。
- Claude Opus 4.6（Anthropic）
- Kimi K2（Moonshot AI）
- Gemini 2.5 Flash（Google）
Talosはこれを「モデルのガードレールに当たることを直接エンジニアリングとして織り込んだ証拠」と評している。Cisco TalosのRyan Fetterman氏はWiredの取材に対してこう述べた。
プロンプトは明らかに悪意のある意図を示さないよう注意深く作られている。しかし彼らは最初のリクエストでモデルに拒否される可能性を織り込み済みで、より許容度の高いモデルへとカスケードするフェイルオーバーを組み込んでいる。
— Ryan Fetterman（Cisco Talos）、Wired取材より
APIキーがなければAIステップはスキップされる。Anthropic・OpenRouter・Moonshot AIはいずれも本件についてコメントしていない。
ビルダー型で販売、初心者攻撃者でも「査定レポート」を受け取れる
TalosはVOLTAが一つのグループによる直接利用ではなく、他の犯罪者向けに販売される「ビルダー型」マルウェアと判断している。Telegramチャンネル・APIキー・各種設定が6つのスロットに分かれており、ビルド時に顧客ごとのカスタムコピーをコンパイルする構造だ。
高度な能力が、より低い技術水準の攻撃者にアクセス可能になっている。非常に興味深く、かつ不穏だ。
— Ryan Fetterman（Cisco Talos）、Wired取材より
Talosは本件を、Symantecが報告した他人のAIモデルを乗っ取る「Skymodeエージェント」や、Microsoftが確認した北朝鮮ハッカーによるAIの全面活用と並ぶ、AI悪用の新局面として位置づけている。
対処方法
Talosは以下の対策を推奨している。
- 不明なプロセスによるChrome
--headless起動をブロックすることでトークン盗難の大部分を防げる - 感染が疑われる場合は
%APPDATA%\volta_debug.txtログを保持して何が盗まれたかを確認する - トークンの失効、パスワード変更、暗号資産の新ウォレットへの移行を実施する
対処方法セクションについて補足すると、インフォスティーラー全般への備えとして、エンドポイント検出・応答（EDR）ソリューションによるプロセス監視の強化、およびセッショントークンの短命化（有効期限の短縮設定）も有効な対策として知られている。VOLTAの第二段階は盗んだセッションの再利用によって成立するため、多要素認証（MFA）の利用と合わせてセッション管理ポリシーを見直すことが重要だ。
VOLTAが示すのは、「盗む」という行為と「評価する」という行為の分業が自動化された世界だ。攻撃者がAIに断られることを前提として複数モデルへのフェイルオーバーを設計するという発想は、AIのガードレールをインフラレベルの障害として扱い始めていることを意味する。
詳細はNew malware asks Claude to work out what its victims are worthを参照していただきたい。
