シスコのセキュリティ部門Cisco Talosが10月31日、Windows向けの情報窃取マルウェア（インフォスティーラー）「VOLTA」（別名VOLTA-AUTODOXER）の解析を公開した。盗んだパスワードやセッション情報を使って被害者の素性を調べ上げ、その一覧を生成AIに渡して「どの被害者がいくらになるか」を格付けさせる段階を持っている。

呼び出し先の既定は、Anthropicの Claude のモデル「Claude Opus 4.6」。拒否されると、中国Moonshot AIの「Kimi K2」、続いてGoogleの Gemini 「Gemini 2.5 Flash」へ順に切り替わる作りだという。

先に押さえておくと、報告が示したのは攻撃者が各社のAIをAPI経由で利用する仕組みであって、ClaudeやGeminiそのものが侵入されたという話ではない。それでもAIを選ぶ側にとっては、「AIが断る」ことをどこまで安全の根拠にしてよいかを考え直す材料になる。

⚠ 情報の鮮度について
一次情報はCisco Talosの技術ブログ（2026年10月31日付）で、編集部で原文を確認しています。公開時点で約1日が経過した速報に近い段階です。報告にはモデル提供元や中継サービスの対応、被害件数は書かれていません。以降の記述はTalosの解析内容に基づきます。
Section 01

VOLTAとは何か──盗んだあとに「AIの分析官」を雇うマルウェア

VOLTAは、実行後に自分自身を消すWindows向けのインフォスティーラーだ。Talosによれば、狙う対象はChromium系とFirefoxのブラウザ、Outlook、Slack、Steam、Battle.net、Discord、Telegram、Roblox、SSHやクラウドの設定ファイル、Wi-Fiのプロファイルと幅広い。暗号資産ウォレットの保管庫に対しては、パスワードを割る機能まで内蔵している。Chromeの保護機能「App-Bound Encryption」を回避する処理も持つ。

ここまでは従来型の窃取ツールと変わらない。新しいのは最後の段だ。盗み終えると「Identity_Report.txt」という被害者のプロフィールを組み立て、これをAIモデルに送る。返ってくる「AI_Analysis.txt」には、被害者を金になる順に並べた評価が書かれている。

STEP 1
盗む──ブラウザの保存情報、セッション、Cookie、カード情報、暗号資産ウォレットなどを回収する。
STEP 2
裏を取る──盗んだセッションでメールの領収書や配達サービスの履歴を引き、住所などを確かめる。
STEP 3
AIに渡す──プロフィールをOpenRouterのAPI経由でモデルに送り、格付けを書かせる。
STEP 4
操る側が読む──ランク付けされた一覧を見て、どの被害者から狙うかを決める。

Talosはこの層について、AIは従来のマルウェアの機能を果たしているのではなく、運用者の分析作業を肩代わりする役だと位置づけている。報告書は「最も人間の注意を要する工程を見つけ、そこをモデル呼び出しに置き換える」と表現した。

一言でまとめると──「盗む部分はこれまでと同じで、盗んだあとの"どれが金になるか"の判断だけをAIに任せるマルウェア」です。AIは入口を破る道具ではなく、分析官として雇われています。
Section 02

断られたら次のモデルへ──呼び出し順と拒否の扱い

呼び出しはOpenRouterのチャット補完APIに、SDKを使わず手組みのJSONで送る形をとる。呼び出し先は次の順に並んでいる。

順番 モデル（OpenRouter上の指定） 提供元
1番目（既定） Claude Opus 4.6（anthropic/claude-opus-4.6） Anthropic
2番目 Kimi K2（moonshotai/kimi-k2） Moonshot AI
3番目 Gemini 2.5 Flash（google/gemini-2.5-flash） Google

肝心なのは、返ってきた文章に拒否を示す言い回しが含まれていないかをマルウェア自身が調べ、含まれていれば次のモデルへ回す点だ。最大で3つのモデルまで試す。温度（出力のばらつきの設定値）は0.2に固定されており、Talosは「安定した正確な出力を狙っている」と読んでいる。

APIキーが設定されていなければ、この段は丸ごと飛ばされ、窃取そのものは続く。AIがなくても動くが、あるぶん運用者の手間が減る、という付け足しの位置づけである。

3 拒否時に順に試すモデルの最大数
0.2 固定された温度設定
0 報告で見つかった攻撃者自前の通信先

最後の数字は見落としやすい。Talosによれば、観測された通信先はすべて第三者のサービスで、攻撃者が自前で持つ基盤は見つかっていない。また、VOLTAは購入者が自分のTelegramチャンネルやAPIキーを設定し、作者が注文ごとにバイナリをビルドして渡す形の製品とみられている。つまりAI呼び出しに使うAPIキーは、買った側が自分で設定する。

Section 03

モデルに渡される「あなたの情報」

モデルに送られる束には、居場所と自宅住所、勤務先、推定の生年、カード番号の一部、参加しているSlackのワークスペース、書類のメタデータ、iPhoneのバックアップの有無といった項目が入る。

送る前の下ごしらえにも手間をかけている。盗んだセッションを使ってGmailから領収書を検索し、住所の裏を取る。Uber EatsとDoorDashの注文履歴を引く。盗んだDiscordのトークンでプロフィールを照会し、Robloxアカウントの持ち物の評価額まで調べる。パスワードを盗むだけでなく、盗んだログイン状態を使って素性を厚くしてから格付けに出す流れだ。

ⓘ なぜ「格付け」が運用者に効率をもたらすのか
盗んだ被害者が何百人もいれば、全員を手で調べるのは割に合いません。暗号資産を多く持つ人、勤務先の肩書が重い人、カードの利用額が大きい人を先に拾えれば、限られた手間を高い順に使えます。TalosはAI層の目的を「運用者の分析作業を減らすこと」の一点だと述べています。
Section 04

この報告で言えること、言えないこと

ここは線を引いて読みたい。報告から確実に言えるのは、VOLTAの検体がClaude、Kimi、Geminiを呼び出す設計になっていることと、拒否表現を検出して次のモデルへ移る処理が入っていることだ。

一方、報告に書かれていないことが3つある。第一に、被害者の数や具体的な被害事例。第二に、実際の感染でどのモデルが応答し、どのモデルが拒否したか。第三に、Anthropic、Google、OpenRouterへの通知や、各社の対応である。Claudeが実際に格付けを書いたのか、それとも拒否して下位のモデルに回ったのかは、この報告からは分からない。

⚠ 「Claudeが悪用された」と読まないために
この件でClaudeやGeminiのシステムが破られた形跡は報告されていません。攻撃者は正規のAPIを自分のキーで呼んでいるだけです。ただし、拒否が働いたかどうかが外から見えないこと自体が、今回の論点の核心になっています。各社が不正な用途の呼び出しをどこまで検知できるのかは、現時点で確かめる材料がありません。

過去に当サイトが扱ったOpenAIのサイバー能力の公表のように、モデル各社は「どれだけ断れるか」を安全性の指標として前面に出してきた。VOLTAの設計は、断られること自体を前提に、断らないモデルへ回す配線を最初から組み込んでいる。拒否率の高さは、同じ呼び出し先のなかでは意味を持つが、呼び出す側が別のモデルに乗り換えられる限り、全体の防壁にはならない。

Section 05

で、あなたはどうすべきか

AIを選ぶ人の立場に引きつけて、読み方を3つの立場に分けて整理する。Talos自身が挙げた対策と、そこから読み取れる確認点である。

A
個人：AIサービスの選び方は変えなくてよい

被害に遭うきっかけはAIではなく、窃取ツールに感染することだ。VOLTAが盗むのはブラウザの保存情報やログイン状態で、使っているのがChatGPTでもClaudeでもGeminiでも条件は同じになる。守る対象は端末と、ブラウザに預けた認証情報の側にある。

B
感染が疑われる場合：消す前に証拠を残す

Talosは、%APPDATA%にできる「volta_debug.txt」を保存するよう勧めている。何を集め、AI呼び出しが成功したかが記録されるためだ。そのうえでトークンを失効させ、パスワードを変更する。平文で保管していた暗号資産のシードフレーズは、完全に漏れたものとして扱い、別の端末で新しく生成したウォレットへ資産を移す。

C
組織の管理者：検知の足がかりがある

Talosは、想定外のプロセスからのChromeのヘッドレス起動を制限して警告すること、認証情報を端末のハードウェアに結び付けた保管庫に置くことを挙げている。OpenRouterのような中継サービスへの通信は、使う予定のない端末から出ていれば不審とみる材料になる、というのが編集部の読みだ。

💡 AIを選ぶ立場での確認点
自社でAIモデルを組み込んで提供しているなら、利用規約に反する用途の呼び出しをどう検知するかを、提供元に尋ねる価値があります。「うちのモデルは危険な依頼を断ります」という説明だけでは、今回のように別のモデルへ回される場面を説明したことになりません。呼び出しの頻度や内容の偏りを、アカウント単位で見ているかどうかが確認の中心になります。

同じ週には、Cursorのマーケット経由で改ざんされたClaude Code拡張が配られた件も報じられた。AIの名前を冠した道具が攻撃の入口にも出口にもなる場面が、立て続けに表に出ている。

Section 06

編集部の見立て

Editor's Opinion

この報告でいちばん考えさせられたのは、拒否を検出して次のモデルへ移る数行の処理です。AIの安全性は、1つのモデルが何を断るかで語られがちです。しかし使う側がモデルを自由に差し替えられる世界では、断る基準が最も緩いモデルが、事実上の天井になります。

だからといって、Claudeを選ぶ理由が薄れたとは考えていません。拒否が働くことは、被害を減らす第一の壁として意味を持ちます。ただ、それだけで守りきれるとは言えなくなりました。壁の外側で、不審な呼び出しを見つけて止める仕組みが、サービスを選ぶ際の確認項目に加わったと受け止めています。

もう一つ、冷静に見ておきたい点があります。VOLTAは、AIが人間の運用者を置き換えたというより、運用者の面倒な作業を一つ減らしただけの製品です。大げさに怖がる必要はありませんが、盗まれたログイン状態が、これまでより素早く価値で並べ替えられるようになったことは事実です。守る側は、ブラウザに預けた情報を減らすという、当たり前の対策に立ち返るのがよいと思います。

Section 07

まとめ

2026年10月31日、Cisco Talosが情報窃取マルウェアVOLTA（VOLTA-AUTODOXER）の解析を公開しました。盗んだ情報から被害者のプロフィールを作り、OpenRouterのAPI経由でAIに渡して、金になる順に格付けさせる段を持ちます。

呼び出し先の既定はClaude Opus 4.6で、拒否を示す文言を検出するとKimi K2、Gemini 2.5 Flashの順に切り替わります。最大3モデルまで試し、温度は0.2で固定、APIキーがなければこの段は飛ばされます。

報告には被害件数も、各社への通知や対応も書かれていません。ClaudeやGeminiが侵入された話ではなく、正規のAPIが攻撃者に使われる設計が解析で示された、という内容です。

次に確かめたいのは、Talosの報告に書かれていない2点だ。実際に感染した端末で、格付けを返したのがどのモデルだったのか。そして、Anthropic、Google、OpenRouterがこの利用をどう扱うのか。この2つが示されたとき、拒否に頼る安全設計の限界が、推測ではなく数字で測れる。