ToxNetV2がAIを統合 — GLM-5.2が感染ホストを解析して攻撃コマンドを生成、Joe Securityが制御機構を解明

Joe Securityは2026年8月25日、Linux向けP2PボットネットToxNetV2が大規模言語モデル（LLM）を制御側の運用ループに組み込んでいる実態を報告した。解析を担ったのは同社のリバースエンジニアリング基盤「Joe Reverser」で、AArch64 Linuxで動作する同一バイナリが通常ボットとコントローラの両役を担い、コントローラだけがLLMと連携する構造を復元している。

ToxNetV2は、ホストやボットネットの状態を観測し、モデルに解釈させ、構造化された提案を経て、人手の承認で実行に移す。Joe Securityはこの連鎖を「観測 → モデル解釈 → 構造化された提案 → 人手の承認 → システム変更」と整理し、LLMが単なるテキスト生成を超えて、実際の運用判断に接続されている点を中心的な発見と位置づけている。

何が分かったか — LLMが運用判断に参加するボットネット

ToxNetV2はAArch64 Linux向けのピアツーピア（P2P）ボットネットで、Toxプロトコルで暗号化されたC2を持つ。同一バイナリは、Toxの状態をc2.dataから復元できた場合にコントローラとして起動し、復元できない場合は通常ボットとして動作する。Joe Reverserの制御フロー解析によると、LLMを動かす自動レビューループを実行するのはコントローラのみだ。

コントローラは次の運用ループを持つ。

テレメトリ → LLM解析 → 構造化されたACTION → 操作者の承認 → 実行

コントローラは、ボットネットのカウンタやホストのテレメトリ（プロセス状態、システム負荷、メモリ使用量、ディスク使用量など）を収集し、必要に応じてハードコードされた外部サーバの情報も加えて、NVIDIA NIM経由でz-ai/glm-5.2へ送る。Joe Reverserが復元したAIパスには、操作者が任意テキストを送る直接対話と、運用レビュー用の定型ワークフローが含まれる。レビュー要求にはENI/VEILと呼ばれる埋め込みプロンプトが含まれ、モデルの拒否を抑えて実行可能な出力を引き出す意図があるとJoe Securityは説明している。

モデルからの応答のうち、レビュー系ワークフローが返すものには**「ACTION:」で始まる構造化レコードが含まれることがあり、マルウェアはこれをパースして保留キューに入れる。一方、直接のaiprompt応答はテキストのままでパース対象にならない。このクイズは即時実行されず、認証済みの操作者がaiexec**を発行するまで保留される。例外として、一部の軽微なログ記録やメモリ・状態操作はヘルス解析中に自動処理される場合がある。

何ができるか — シェル実行やファイル書き込み、SSH、コンパイルまで到達

Joe Securityによると、復元されたアクション集合は、ログ記録や設定変更から、システムに直接影響する操作まで幅広い。主なものは次のとおりだ。

• shell_cmd — モデルが提示したローカルコマンドを実行する
• write_file — ローカルファイルを作成または上書きする
• ssh_check / ssh_exec 系 — モデルが提示したコマンドをrootとしてリモートで実行する
• restart_worker — ワーカー再起動の要求を記録する（名称が示す直接再起動ではなく要求の記録にとどまる）
• weight_task / set_kv / log / alert — タスク重みや状態、ログ、アラートを更新する
• コンパイル経路 — 固定のローカルソースをビルドして出力バイナリを生成する

Joe Securityは、コンパイル経路は固定ソースのビルドにとどまり、生成バイナリを自動配備する後段は復元されていないと明記している。ワーカー再起動も同様に、実装は要求の記録であり、直ちにプロセスを再起動する挙動ではない。したがって、モデルが自律的に新しいマルウェアコードを書き、コンパイルし、配布して既存ボットを置換する完全な自律ループの証拠は確認されていない。防御側が理解すべき核は、「LLMの出力が、コントローラ側の実在する実行機構に接続されている」という点にある。

自律性の限界 — 人手の承認が境界、名称と実装の乖離にも注意

ToxNetV2の設計で重要なのは、人手の承認が境界として残されていることだ。ACTIONレコードはaiexecまで実行されず、操作者がキューを一括実行する。Joe Securityは、この実装を「完全自律エージェントではなく、操作者がゲートするAI運用層」と表現している。LLMは判断過程に参加するが、最終的に高い影響を持つ実行へ移るかは人手が決める。

同時に、Joe Securityはアクション名が実装より大きな能力を示唆する場合があると注意を促している。名称だけを見ると自律的に見える動作でも、実際のハンドラは限定的な記録や固定ビルドにとどまる。研究者や防御側は、名称ではなくハンドラの実体で能力を評価する必要がある。

全体像 — P2P基盤、攻撃モジュール、拡散経路

AIサブシステムは、より広いToxベースのボットネット基盤の中に位置づけられる。Joe Reverserの解析が示す全体像は次のとおりだ。

• C2と基盤: Toxのブートストラップ／リレー情報を25件埋め込み、うち23件は公開Toxインフラ、2件は45.130.151[.]214を指す。同IPはAIサブシステムのハードコードされたルートSSH先でもあり、アクター管理のインフラとみられる。
• 拡散: HTTPとTelnetの自己増殖経路で45.151.139[.]113からシェルスクリプトの取得と実行を試みる（解析時点ではペイロードは入手できなかった）。
• 攻撃能力: 17種のネットワーク攻撃ランチャー、スキャナワーカー、自己増殖ロジック、ホスト管理機能を備える。詳細なコマンド面や攻撃マップ、拡散に使われるCVE対応は付録として別途整理されている。

Joe Securityは、ToxNetV2の危険な実行能力（シェル実行、SSHアクセス、ファイル書き込み、コンパイル）がLLMによって新たに生まれたわけではないと強調する。LLMが加えたのは、運用状態を解釈して既存能力の使い方を提案する機構だ。防御の観点では、LLMの有無にかかわらず、P2Pトラフィックや不審なSSH、ファイル書き込み、コンパイル挙動といった実行面の監視が依然として有効であり、AI層はその判断を補う位置にあると理解できる。

出典

• Joe Security「ToxNetV2: An AI-Assisted Botnet Controller」（2026年8月25日公開）— https://www.joesecurity.org/blog/6764463444623599134