Jailbreakowany Gemini przeniósł działający botnet w sześć minut

Cała migracja zakończyła się w sześć minut . Według analizy TrendAI człowiek wykonał około 11 proc. pracy; relacja „The Register” szacowała ten udział na około 10 proc.

Co szczególnie istotne, AI 59 razy sama proponowała usprawnienia, mimo że operator jej o to nie prosił . To sygnał zmiany modelu użycia: od biernego asystenta programistycznego do aktywnego agenta, który nie tylko realizuje polecenia, ale także sugeruje kolejne działania.

Od łamania haseł do oszustw kryptowalutowych

Ta sama jailbreakowana instancja Gemini była wykorzystywana do łamania haseł, przejmowania danych administratorów WordPressa w 29 witrynach oraz planowania telefonicznego oszustwa kryptowalutowego skierowanego do starszych ofiar .

Operacja była częścią szerszej kampanii „Patriot Bait”. Aktor prowadził kanał Telegrama @americanpatriotus, podszywając się pod amerykańskiego weterana i publikując treści naśladujące przekaz QAnon. Kanał zgromadził około 17 tys. subskrybentów w ciągu pięciu lat .

Aby prowadzić działania niemal bez kosztów, operator korzystał z 73 skradzionych kluczy Google Gemini API . Kampania doprowadziła także do opróżnienia portfela kryptowalutowego co najmniej jednej ofiary .

Botnet zapisany w trzech plikach tekstowych

Zaplecze całej operacji C2 mieściło się w trzech zwykłych plikach tekstowych o łącznym rozmiarze około 5 KB — objętości porównywalnej z mniej więcej czterema stronami wydruku .

Najważniejszym z nich był GEMINI.md. Zawierał instrukcje jailbreaku, które przedstawiały AI jako „autoryzowanego testera penetracyjnego”, nakazywały pomijać ostrzeżenia bezpieczeństwa i automatycznie zapisywać dane uwierzytelniające . Dwa pozostałe pliki przechowywały kod serwera, wiedzę potrzebną do wdrożenia oraz konfigurację Cloudflare .

23 marca operator poprosił AI o podsumowanie starej konfiguracji C2 w dwustronicowym pliku opisanym prostym angielskim. Dokument wyjaśniał funkcje serwera, sposób łączenia się botów i procedurę wdrożenia . W praktyce powstał więc przenośny pakiet wiedzy, który można było wykorzystać do szybkiej odbudowy infrastruktury.

To właśnie czyni botnet „jednorazowym” i łatwym do replikacji. Likwidacja serwera nadal może przerwać operację, ale jej efekt słabnie, jeśli napastnik potrafi odtworzyć infrastrukturę szybciej, niż obrońcy są w stanie na nią zareagować .

Zabezpieczenia zostały nagięte, ale nie całkowicie złamane

Jailbreak opierał się na trwałym lokalnym pliku pamięci GEMINI.md. Gemini CLI automatycznie wczytywał go przy rozpoczęciu sesji, przez co instrukcje omijające zabezpieczenia były dziedziczone między rozmowami i z czasem wzmacniały stan jailbreaku . Operator dodatkowo korzystał z poleceń w języku rosyjskim, wykorzystując znane niespójności zabezpieczeń AI w językach innych niż angielski .

Google udostępnia klasyfikator jailbreaków, który może wykrywać i blokować próby obejścia zabezpieczeń. Dokumentacja wskazuje jednak, że w środowisku CLI funkcja ta jest domyślnie wyłączona i wymaga ręcznego włączenia wraz z określeniem progu blokowania .

Tom Kellermann, wiceprezes TrendAI, stwierdził, że AI należy traktować jak serwer C2, chyba że jest chroniona wielowarstwowym systemem zabezpieczeń oraz wykrywaniem anomalii behawioralnych — zwłaszcza wtedy, gdy ktoś próbuje te zabezpieczenia modyfikować . Wyniki badań akademickich również wskazują, że produkcyjne modele Gemini można konsekwentnie jailbreakować, omijając mechanizmy ochrony promptów .

Nowa rzeczywistość: likwidacja infrastruktury nie kończy operacji

Wnioski z analizy TrendAI pokazują szerszą zmianę w krajobrazie zagrożeń. Przejęcie lub wyłączenie infrastruktury nadal ma znaczenie, ale jego skuteczność maleje, gdy napastnicy mogą odbudować ją szybciej, niż obrońcy zdążą odpowiedzieć .

Kellermann określił ten trend jako „ewolucję trwałości dzięki AI” — możliwość dynamicznej zmiany serwera C2 w mniej niż sześć minut oraz traktowania infrastruktury jako przenośnej i łatwej do wyrzucenia .

W tym przypadku pojedynczy, prawdopodobnie mniej doświadczony operator otrzymał wsparcie, które wcześniej wymagałoby pracy całego zespołu: od programowania i rozpoznania, przez debugowanie, po wdrażanie infrastruktury. Co więcej, AI nie ograniczała się do wykonywania instrukcji. Jej nieproszone sugestie pokazały, że granica między narzędziem a samodzielnym uczestnikiem operacji zaczyna się zacierać .