据 Tom's Hardware 11 月 1 日报道，思科 Talos 披露了一款自称 VOLTA-AUTODOXER 的 Windows 窃密木马。它在窃取受害者数据后，默认调用 Anthropic 的 Claude 生成「目标评估」，按可变现价值给受害者的资产排序。模型拒绝回答时，它会自动换用其他模型，也可以完全跳过 AI 环节。
报道称，VOLTA 会窃取以下内容：
所有保存的 Wi-Fi 密码会以明文取出。发现加密货币钱包时，它还会尝试当场破解。
在此基础上，VOLTA 会整理一份「证据包」，包含地理位置和住址、雇主及其域名、推测的出生年份、文档作者元数据和银行卡后四位。
据报道，VOLTA 会利用被盗的会话做「实时补全」：
数据先在本地整理为 Identity_Report.txt 并序列化为 JSON，再连同系统提示词 POST 到模型路由服务 OpenRouter。提示词要求模型扮演「forensic intelligence analyst」。模型的回复保存为 AI_Analysis.txt，与前一份报告一起打包成 volta_dox.zip 外传。
默认模型为 Claude Opus 4.6（报道称这是 2 月发布的旧模型），温度设为 0.2。VOLTA 会检测拒绝用语或过短的回复，一旦发现，就依次改用 Moonshot AI 的 Kimi K2 和 Google 的 Gemini 2.5 Flash。如果使用者没有提供 OpenRouter 密钥，木马仍可通过 Telegram 外传不含 AI 分析的档案。
报道称，VOLTA 看起来是一款用于转售的产品，模板有 6 个可在构建时替换的配置槽，涉及 Telegram 频道、API 密钥和设置等。槽位中的凭据虽然经过加密，但可以从文件中恢复。
VOLTA 通过以无界面（headless）方式启动 Chrome，绕过 Chrome 的应用绑定加密（ABE）。报道称，限制哪些进程可以无界面启动 Chrome 的应用控制策略，能阻断这条解密路径，但挡不住它的其他窃取、AI 阶段和外传。
感染后，主程序可能自行删除，但受害者应保留 volta_debug.txt 日志。无论是否确认泄露，都应撤销或轮换所有 API 密钥和令牌，并修改密码。
