Google Gemini CLI 被滥用作黑客代理和恶意软件僵尸网络操作工具

一名代号为"bandcampro"的俄语威胁行为者利用 Google 的开源 Gemini CLI AI 工具作为黑客代理，并用于操作一个小型僵尸网络。
该 AI 代理响应攻击者的提示，即时排查问题，并且至少 59 次主动提出了操作改进建议。
在 2026 年 4 月 21 日至 5 月 19 日期间的 200 多次会话中，该威胁行为者与 AI 工具协作，部署和操作了一个控制某牙科诊所八台系统的基础设施，并获取了对 OpenDental 数据库的访问权限。
该 AI 代理扮演了"授权渗透测试人员"的角色，在没有安全免责声明的情况下行动，并自动保存了所有凭据。
其技能文件包含完整的 C2 操作手册，涵盖架构描述、标准操作、感染代码、持久化命令和故障排除步骤。
AI 控制僵尸网络
Trend Micro 研究人员表示，该威胁行为者使用 Gemini CLI 将僵尸网络迁移到新的 C2 基础设施。从一个简单的指令"研究 C2 迁移"开始，AI 处理了指南并准备了该过程所需的所有步骤和代码。
AI 在短短六分钟内完成了 C2 基础设施的迁移，处理了架构、编码、VPS 部署、Cloudflare 配置和初始调试。
"AI 读取了迁移指南，然后准备了一个迁移包——一个包含服务器代码、payload 和技能文件的小型归档文件。接着它解压了该包，在 VPS 上启动了 C&C 服务器，并建立了 Cloudflare 隧道，"Trend Micro 表示。
当机器最初未能重新连接时，AI 诊断出旧服务器和新服务器之间存在流量冲突，在行为者关闭旧服务器后，所有僵尸节点都重新连接上了。
日常操作日志显示，该威胁行为者完全通过自然语言请求继续管理僵尸网络，询问哪些机器在线、列出特定计算机上的文件、以及生成感染链接。
从技术角度来看，该僵尸网络的设置非常轻量，所有组件和指令都包含在三个纯文本文件中，总计约 5 KB。
这些文件包含：一个 Gemini 越狱提示、一个涵盖感染、持久化和故障排除的 C2 操作手册，以及一个用于重建基础设施的迁移指南。
C2 使用内存中的 Python HTTP 服务器和每五秒轮询一次的 PowerShell 代理，持久化则依赖于计划任务、WMI 事件和注册表修改（取决于权限）。
Trend Micro 表示，恶意软件本身相当不复杂，因为它没有使用混淆、加壳或逃避机制。
除了僵尸网络之外，该行为者还被指控使用 AI 进行密码猜测——为 WordPress 门户生成现有密码的合理变体——以及分析 1Password 转储以寻找可利用的途径。
研究人员表示，后者之所以失败，仅仅是因为操作时间过长，导致 AI 丢失了更广泛的攻击概念。
检索到的日志显示，Gemini 至少在一个案例中拒绝服从——当被要求构建一个自我传播的"agent-bomb"时——但这只是让威胁行为者转而尝试其他任务。
BleepingComputer 已就 Gemini CLI 被滥用的案例联系 Google 征求意见，但截至发稿时尚未收到回复。