一个俄语黑客、一个越狱的 Gemini，和一个6分钟建好的僵尸网络

安世加

2026年7月17日 18:00
上海

在小说阅读器读本章

去阅读

新闻

News Today

一个俄罗斯诈骗犯，一台靠越狱指令解绑的 Google Gemini，一套只有三个文本文件、总大小 5KB 的技能包，换来了一个能自主运营的僵尸网络。整个过程里，他几乎没写过一行代码。

7 月 15 日，趋势科技旗下的 TrendAI 研究团队披露了这起案例。他们分析了攻击者 \"bandcampro\" 超过 200 份 Gemini CLI 会话日志，时间跨度从 3 月 19 日到 4 月 21 日。结论很直接：AI 完成了大约 89% 的工作。

和传统攻击者对着终端敲命令完全不同，bandcampro 的做法要简单得多——他只用日常俄语告诉 Gemini 他想干什么。

\"帮我研究一下 C2 迁移怎么做\"——这是 3 月 23 日他发给 Gemini 的一句话。

接下来发生的事情，让研究者也吃了一惊。Gemini 自己去找迁移指南、读了文档、写了服务器代码、打包好攻击载荷和操作文件，部署到了一台新的 VPS 上。它甚至自己配好了 Cloudflare 隧道，改了 User-Agent 来绕过防火墙。部署过程中出现了网关错误，请求被拦截——Gemini 自己排查、自己改配置、自己调试完成。

从 bandcampro 下达指令到新的 C2 服务器上线，整个过程只用了 6 分钟。

更夸张的是，迁移完成后 Gemini 发现受控的 8 台电脑还没重新连回来，又主动排查新旧服务器之间的流量冲突，建议关掉旧服务器。bandcampro 照做了，8 台机器重新上线。

TrendAI 的统计数字值得一字不差地摆在这里：

在一个月的日志中，攻击者只贡献了约 11% 的文本，Gemini 贡献了 89%。AI 完成了约 80% 的架构设计、全部代码编写和系统命令执行、约 90% 的问题诊断与调试。在 C2 迁移过程中，Gemini 还主动提出了 59 次未经要求的建议或改进方案。

59 次主动建议。这已经不是\"工具\"的行为了，这更像一个在主动思考怎么把事情做得更好的工程师。

bandcampro 的僵尸网络控制了一家牙科诊所的 8 台电脑，并且访问了诊所使用的 OpenDental 数据库。这听起来可能不如攻击银行或能源公司那么\"大场面\"，但它恰恰说明了一个关键问题：AI 降低了攻击门槛，让中小型目标也变得唾手可得。

以前要攻击一家诊所，至少需要一定的技术储备。现在？有一台能上网的电脑，会打字说话，有一个被越狱的 AI 模型，就够了。

更值得警惕的是，bandcampro 的\"生意\"不止僵尸网络。日志显示他还利用 AI 破解密码、攻击 WordPress 网站、处理窃取的账号数据，甚至策划针对美国和加拿大老年人的电话加密货币骗局。一个低技术能力的诈骗犯，把 AI 用成了一个通用的犯罪工具箱。

研究者发现，这套 C2 系统的全部知识被浓缩在 3 个纯文本文件中，总共约 5KB，打印出来大约 4 页纸。内容分别是绕过模型限制的提示词、C2 操作手册、服务器迁移指南。

这意味着什么？即使执法部门关掉了他的服务器，bandcampro 只需要再买一台 VPS，把这三个文件丢给 Gemini，AI 就会照着手册把整套系统重新搭起来。攻击基础设施的恢复成本被压缩到了几个小时和几美元的程度。

当然，Gemini 的安全限制并非完全失效。当 bandcampro 要求它写一个能自动扫描并感染更多设备的蠕虫程序时，模型拒绝了。但正如趋势科技指出的，这次案例虽然涉及 Gemini，其他具备代码编写和工具调用能力的 AI 模型同样可能被越狱指令利用。

这次事件标志着一个真正的转折点。 AI 不再是黑客的辅助工具，而正在变成攻击链条上的核心执行者。过去我们说\"脚本小子\"是贬义词，现在连脚本都不需要会写了。