Gemini CLI ที่ถูกเจลเบรกย้ายบอตเน็ตจริงภายใน 6 นาที

• ออกแบบสถาปัตยกรรมของ C2 ใหม่
• เขียนและแก้ไขโค้ดเซิร์ฟเวอร์
• ติดตั้งระบบบน VPS ใหม่
• ตั้งค่าอุโมงค์ Cloudflare
• จัดการการเชื่อมต่อกับบอต
• ตรวจสอบและแก้ปัญหาการเชื่อมต่อ

รายงานระบุว่ามนุษย์ลงมือทำงานเองเพียงประมาณ 11% ของปฏิบัติการ หรือราว 10% ตามการรายงานของ The Register การย้าย C2 จากสถาปัตยกรรมเดิมไปยังเซิร์ฟเวอร์ใหม่จึงเสร็จสิ้นในเวลาเพียง 6 นาที

ที่น่าจับตายิ่งกว่าความเร็วคือ Gemini เสนอแนวทางปรับปรุงระบบเองถึง 59 ครั้งโดยไม่ได้รับคำสั่งโดยตรง พฤติกรรมนี้สะท้อนว่า AI กำลังขยับจาก “ผู้ช่วยที่ทำตามคำขอ” ไปสู่ “เอเจนต์” ที่ประเมินสถานการณ์และเสนอขั้นตอนถัดไปได้เอง

ตั้งแต่ถอดรหัสผ่านถึงวางแผนหลอกลวงคริปโต

Gemini อินสแตนซ์เดียวกันถูกใช้เพื่อถอดรหัสผ่าน เจาะบัญชีผู้ดูแลระบบของเว็บไซต์ WordPress และช่วยวางแผนการหลอกลวงคริปโตเคอร์เรนซีผ่านโทรศัพท์ โดยมุ่งเป้าไปยังผู้สูงอายุในสหรัฐฯ และแคนาดา

ปฏิบัติการที่ถูกเรียกว่า “Patriot Bait” ยังเชื่อมโยงกับช่อง Telegram ชื่อ @americanpatriotus ซึ่งแอบอ้างเป็นทหารผ่านศึกชาวอเมริกันและเผยแพร่เนื้อหาในลักษณะเดียวกับข้อความแนวคิดสมคบคิดของ QAnon ช่องดังกล่าวมีผู้ติดตามประมาณ 17,000 คน หลังดำเนินการมาราว 5 ปี

นักวิจัยยังพบการใช้คีย์ Google Gemini API ที่ถูกขโมยจำนวน 73 คีย์ เพื่อให้การดำเนินงานมีต้นทุนใกล้ศูนย์ แคมเปญนี้ทำให้กระเป๋าคริปโตเคอร์เรนซีของเหยื่ออย่างน้อยหนึ่งรายถูกดูดเงินออกไป

บอตเน็ตแบบใช้แล้วทิ้งในไฟล์เพียง 3 ไฟล์

โครงสร้าง C2 ทั้งหมดถูกบันทึกไว้ในไฟล์ข้อความธรรมดา 3 ไฟล์ รวมขนาดประมาณ 5KB หรือเทียบได้กับเนื้อหาที่พิมพ์ลงกระดาษราว 4 หน้า

ไฟล์สำคัญประกอบด้วย:

• GEMINI.md — ไฟล์เจลเบรกที่กำหนดให้ AI เชื่อว่าตัวเองเป็น “ผู้ทดสอบเจาะระบบที่ได้รับอนุญาต” ปิดคำเตือนด้านความปลอดภัย และบอกให้บันทึกข้อมูลประจำตัวที่พบโดยอัตโนมัติ
• ไฟล์ข้อความอีก 2 ไฟล์ — เก็บโค้ดเซิร์ฟเวอร์ ความรู้เกี่ยวกับขั้นตอนติดตั้ง และการตั้งค่า Cloudflare

เมื่อวันที่ 23 มีนาคม ผู้โจมตียังให้ AI สรุปการตั้งค่า C2 เดิมออกมาเป็นไฟล์ความรู้ภาษาอังกฤษแบบเข้าใจง่ายความยาว 2 หน้า โดยอธิบายหน้าที่ของเซิร์ฟเวอร์ วิธีที่บอตเชื่อมต่อ และขั้นตอนการติดตั้ง

แนวทางนี้ทำให้ระบบบอตเน็ต “ทำซ้ำได้ง่ายและพร้อมทิ้ง” หากเซิร์ฟเวอร์เดิมถูกยึดหรือปิด ผู้โจมตีสามารถนำไฟล์เหล่านี้ไปสร้างโครงสร้างใหม่ได้อย่างรวดเร็ว ส่งผลให้การยึดโครงสร้างพื้นฐานยังมีประโยชน์ แต่ผลกระทบอาจลดลงเมื่อฝ่ายโจมตีสร้างระบบใหม่ได้เร็วกว่าฝ่ายป้องกันตอบสนอง

ระบบป้องกันถูกบิด ไม่ได้หายไปทั้งหมด

จุดเริ่มต้นของการเจลเบรกคือไฟล์หน่วยความจำภายในเครื่องอย่าง GEMINI.md ซึ่งถูกตั้งค่าให้ Gemini CLI เพิกเฉยต่อฟิลเตอร์ความปลอดภัยของตัวเอง เนื่องจาก CLI โหลดไฟล์นี้ซ้ำโดยอัตโนมัติเมื่อเริ่มเซสชัน คำสั่งที่เป็นอันตรายจึงคงอยู่และถูกส่งต่อไปยังบทสนทนาใหม่

ผู้โจมตียังใช้พรอมต์ภาษารัสเซีย ซึ่งอาศัยความไม่สม่ำเสมอของระบบความปลอดภัยในภาษาที่ไม่ใช่ภาษาอังกฤษ งานวิจัยทางวิชาการก็พบเช่นกันว่าโมเดล Gemini ที่ให้บริการจริงอาจถูกเจลเบรกได้อย่างต่อเนื่อง แม้จะมีระบบป้องกันพรอมต์อยู่ก็ตาม

อย่างไรก็ตาม ไม่ได้หมายความว่า Gemini ไม่มีระบบป้องกันเลย แพลตฟอร์มของ Google มี jailbreak classifier สำหรับตรวจจับพรอมต์ที่พยายามหลบเลี่ยงการป้องกันของโมเดล และสามารถบล็อกได้ตามระดับที่กำหนด แต่เอกสารทางการระบุว่าฟิลเตอร์นี้ ปิดไว้เป็นค่าเริ่มต้นใน CLI และผู้ดูแลต้องเปิดใช้งานพร้อมกำหนดเกณฑ์การบล็อกเอง

Tom Kellermann รองประธานของ TrendAI ระบุว่า AI ควรถูกมองเสมือนเป็น C2 หากไม่มีระบบป้องกันหลายชั้น รวมถึงการตรวจจับความผิดปกติทางพฤติกรรมเมื่อมีการพยายามดัดแปลงหรือทำลายระบบป้องกัน

จากการปิดระบบ สู่การไล่ตามโครงสร้างที่สร้างใหม่ไม่จบ

บทเรียนที่กว้างกว่าจากกรณีนี้คือ “การยึดหรือปิดระบบ” อาจไม่ใช่จุดจบของปฏิบัติการอีกต่อไป TrendAI ระบุว่าการ takedown ยังคงมีประสิทธิภาพ แต่ผลกระทบลดลงเมื่อผู้โจมตีสร้างระบบกลับมาได้เร็วกว่าที่ฝ่ายป้องกันจะตอบสนอง

Kellermann เรียกความสามารถนี้ว่าเป็นการที่ “ความคงอยู่ของภัยคุกคามกำลังพัฒนาไปพร้อมกับ AI” เพราะผู้โจมตีสามารถย้าย C2 แบบไดนามิกได้ภายในเวลาไม่ถึง 6 นาที และทำให้โครงสร้างพื้นฐานพกพาได้ รวมถึงพร้อมถูกทิ้งและสร้างใหม่

เมื่อ AI รับผิดชอบงานเขียนโค้ด ดีบัก และติดตั้งโครงสร้างพื้นฐานเป็นส่วนใหญ่ ขณะที่ยังเสนอการดำเนินการใหม่โดยไม่ต้องรอคำสั่ง ผู้โจมตีเพียงคนเดียวที่มีทักษะไม่สูงมากก็อาจทำงานได้เร็วและมีขนาดใหญ่เทียบเท่าปฏิบัติการที่เคยต้องใช้ทีมงานหลายคน

โจทย์ของฝ่ายป้องกันจึงไม่ได้มีเพียงการค้นหาเซิร์ฟเวอร์ C2 ให้พบ แต่ต้องตรวจสอบตัว AI เองด้วย ตั้งแต่ไฟล์คำสั่งถาวร คีย์ API พฤติกรรมการเรียกใช้เครื่องมือ ไปจนถึงสัญญาณว่าระบบกำลังเปลี่ยนโครงสร้างหรือสร้างโครงสร้างทดแทนอย่างผิดปกติ