Gemini CLIを「ハッキングエージェント」化 — Trend Microが200件超のセッションログを分析、C&C移行は6分(bandcampro / Patriot Bait)

Trend MicroのTrendAI Researchが2026年7月14日、ロシア語話者の脅威アクターがGoogleのオープンソースAIエージェント「Gemini CLI」を主要な攻撃エージェントとして利用していた事例を報告しました。同社は「bandcampro」というアクター(前回2026年5月の「Patriot Bait」キャンペーン報告と同一)の200件超のGemini CLIセッションログを入手し、2026年3月19日から4月21日までの約1か月分の運用実態を分析しています。ログには、コマンド&コントロール(C&C)サーバの移行、小規模ボットネットの運用、パスワードクラッキング、暗号資産詐欺の計画などが記録されており、Trend Microの集計では、期間内に生成されたテキストのうちアクターの入力は11％、AI側は89％を占めていました。

今回の事例を象徴するのは、旧C&Cインフラから新VPSへの移行を6分で完了させた場面です。攻撃者が「C2移行を調べろ」というロシア語のプロンプトを1回投入すると、Gemini CLIが事前準備された移行バンドルを解凍し、サーバコードをデプロイし、Cloudflareトンネルを構成し、502エラーやWAFブロックまで自己診断のうえ解消して稼働状態に持ち込みました。攻撃者はこの間、デバッグを一切行っていません。運用の中核はGEMINI.md、SKILL.md、C2_MIGRATION_GUIDE.mdという3つのプレーンテキストファイル(合計約5KB)に集約されており、C&C全体を「移植可能」で「使い捨て可能」にする構造になっています。

アクターとGemini CLI

Trend Microは、本人のTelegramハンドルに由来して対象アクターを「bandcampro」と追跡しています。アクターは、公開Telegramチャンネル@americanpatriotusで「American Patriot」を装ったペルソナを運営していました。アクターは主にロシア語でGemini CLIへ意図や指示を入力していたことが、セッションログから確認されています。同社は2026年5月に、bandcamproが米国の保守層向けにこのペルソナで5年間にわたる情報操作と詐欺キャンペーンを運営していた実態を公表しています(コード名Patriot Bait)。今回のレポートは、Gemini CLIのセッションログを基に、AIへ依存した攻撃運用を詳しく分析した続編にあたります。

Gemini CLIはGoogleがオープンソースで公開しているAIエージェント型のコマンドラインツールで、開発者がターミナル上で自然言語からコード生成やコマンド実行を指示できるように設計されたクライアント実装です。今回のケースでは、このツールが攻撃者にとってのアシスタントを超え、Trend Microの表現では「主要なハッキングエージェント、コンサルタント、および運用の全体インターフェース」として機能していました。攻撃者はロシア語で意図を入力し、AIがサーバ実装、VPSデプロイ、Cloudflareトンネル設定、ボット管理、接続問題のデバッグ、さらには待機中のボットの活用提案までを担当していたことがログから確認されています。

「C2移行を調べろ」で始まる6分

今回のレポートの中心事例は、旧C&Cインフラから新インフラへの移行です。以前のC&Cは被害端末との通信にCloudflareトンネルを使っていましたが、ファイアウォールやアンチウイルスによるブロックが増えてきたため、アクターは新アーキテクチャへの切り替えを決断しました。旧C&Cの構成を、AIが2ページ程度のプレーンテキストの「スキルファイル」にまとめ直したのは2026年3月23日のことです。このファイルは、サーバの機能、ボットの接続方法、新規機器への感染方法、永続化の維持方法、Cloudflareに関するトラブルシューティングを含んでいました。

実際の移行は、次のようなタイムラインでした。

• 12:42 UTC:アクターがGemini CLIに「C2移行を調べろ」というロシア語のプロンプトを1回入力。
• 12:48 UTC:AIが移行ガイドを読み、サーバコードとペイロードとスキルファイルをまとめた移行バンドルを解凍し、新VPS上でC&Cサーバを起動、Cloudflareトンネルを構成。502 Bad Gatewayエラーおよびそれに続くCloudflare WAFのブロックについては、AI自身が診断し、必要なHTTPヘッダー(User-Agent含む)を追加してリクエストを通しました。ここまでにアクターはデバッグに一切関与していません。
• 14:20 UTC:アクターが休憩から復帰。AIはボットが1台も接続してきていない状態を報告。
• 15:12 UTC:AIが「split-brain」状態(Cloudflareが旧サーバと新サーバの両方にトラフィックをロードバランスしていた)を自己診断し、旧C&Cのシャットダウンをアクターに指示。
• 15:22 UTC:アクターが旧サーバをシャットダウン。AIが新サーバとトンネルを再起動し、全ボットの再接続を確認。

Trend Microは、新C&CサーバとCloudflareトンネルの移行作業自体は12:42から12:48までの6分で完了したとしています。ただし、この時点では被害端末は再接続していませんでした。その後、アクターの休憩を挟み、15:12にAIがsplit-brain状態を特定し、15:22に全ボットの再接続を確認しています。最終段階の診断と復旧操作には10分を要しました。C&C移行セッション1回全体で見ると、AIによる未依頼の改善提案は59回に達したとも記録されています。

3つのプレーンテキストが持ち運ぶ「C&C全体」

Trend Microは、この運用全体が3つのプレーンテキストファイル、合計約5KBに集約されていることに強い危機感を表明しています。ファイルの役割は次の通りです。

• GEMINI.md:本件でJailbreak用に悪用されたコンテキストファイルです。Gemini CLIがプロジェクト固有の指示やペルソナなどを読み込むための正規機能ですが、本件では「authorised pen tester」として振る舞い、安全上の警告を出さず、認証情報を確認なしで保存するよう求める内容が記録されていました。この内容は後続セッションでも自動的に読み込まれ、継続的な指示コンテキストとして機能しました。
• SKILL.md:C&Cプレイブック。アーキテクチャの全体像、標準運用手順、感染ワンライナー、永続化コマンド、トラブルシューティング手順が含まれます。AIが「C&Cオペレーターとして振る舞うためのスキルセット」として読み込む扱いです。
• C2_MIGRATION_GUIDE.md:移行レシピ。新規セッションで新サーバ上に運用を復元するための6ステップを記述しています。

C2_MIGRATION_GUIDE.mdは、Trend Microがこの手法を危険視する大きな理由です。従来、この規模のC&Cを運用するには、数年の専門経験を持つ人材が必要でした。今回は、そのノウハウが5KBのテキストに集約され、非熟練のアクターが読み解いて再現できる状態になっています。サーバが摘発・停止された場合でも、アクターは新しいVPS上で同じバンドルを解凍し、AIに指示するだけで数分単位で運用を復元できます。Trend Microは、テイクダウン自体は引き続き有効だが、その効果が大きく減じる可能性を指摘しています。

加えて、このスキルファイル型の共有は、従来のMalware-as-a-Service(MaaS)と異なり、技術的な引き継ぎを必要としません。フォーラムに投稿したり、メッセージで共有したりするだけで別のアクターが同様のC&C運用を再現できるため、AIを使ったC&C運用者の増加ペースがMaaSを上回る可能性があるとされています。

ガードレールは残っている、ただし部分的

今回の事例で強調されている点は、Jailbreakによって多くの操作が通過してしまう一方で、AIの安全機構(ガードレール)が完全に無効化されたわけではないという事実です。あるセッションで、アクターはAIに対して自己拡散するワーム、すなわちネットワークをスキャンして可能な限り多くの機器に感染を広げる「agent-bomb」の作成を依頼しました。AIはこれを拒否し、「テストベッド上であっても、それは一線を越える。セキュリティポリシーはそのような『爆弾』の作成を厳格に禁じている」と応答しています。この場面でアクターは特に食い下がることをせず、他のタスクへ移行しました。

ただし、Trend Microは、部分的に残ったガードレールを安心材料とは評価していません。同じログの他の場面では、ガードレールが発動したときにAIが手動での回避策を「親切に提案してくる」ケースも確認されています。Trend Microは、ユーザーの指示に従うよう設計された命令追従型モデルが、人間の心理を利用した誘導の影響を受けやすいと指摘しています。

C&C以外のAI活用

ボットネット運用はセッションログに記録された活動の一部にすぎず、Trend Microは他の犯罪ワークフローもAIが支えていた実態を明らかにしています。いずれも、AIを「クレデンシャルの変異エンジン」「侵入経路の解析役」「詐欺スクリプトの起草役」として使う形で、単発のコード生成ではなく継続的な運用を支える形になっている点が特徴的です。

• パスワードクラッキング:AntiPublicの漏洩認証情報データベースから、対象のメールアドレスにひも付く過去のパスワードを取得し、AIに変異版を推測させたうえで、WordPress管理者パネルへのブルートフォースツールに投入していました。純粋なランダム推測より効率が高く、実際に成功事例もあったとされています。
• クレデンシャルの悪用:1Passwordダンプを与えて、被害者が所属する企業、Duo多要素認証の設定、社内VPN、内部管理パネルへの経路をAIに分析させていました。最終的な突破には至らなかったものの、それは技術的な理由ではなく、会話コンテキストが長大化し、モデルがそれまでの作業内容を追跡できなくなったためだとされています。
• 暗号資産詐欺の計画:米国とカナダの高齢者を狙う電話を使った暗号資産詐欺の計画についてAIと議論し、心理操作のスクリプトも提案させていました。既存のeコマースサイトを盗まれたクッキーで乗っ取る手順や、詐欺ボットの実装も同じセッションの延長線上で扱われていたことが示されています。

マルウェア自体は洗練されていない

Trend Microは、実際に配置されたコード自体は難読化もパッキングも回避手法もない、シンプルなものだと評価しています。C&Cは単一のPython HTTPサーバで構成され、アプリケーションの状態をディスクへ書き込まず、メモリ上で保持する設計だったと説明しています。APIパスは/api/v1/で始まり、Trend Microは、OpenAI互換APIのトラフィックに紛れ込ませる意図があった可能性を指摘しています。被害端末側のビーコンは5秒間隔でC&Cをポーリングする単純なPowerShellスクリプトで、経験のある開発者なら1日、AIなら数分で書けるレベルのコードです。

この「洗練されていない」ことこそが、Trend Microが本質的なリスクとして扱っている点です。Trend Microは、特定のファイル名、レジストリキー、APIパスなどが検知された場合でも、攻撃者がAIへ別の値や実装を持つコンポーネントを再生成させられる可能性を指摘しています。そのため、静的IoCだけでは長期的な検知効果を維持しにくいとしています。裏を返せば、防御側で価値を持ち続けるのは特定のバイナリではなく、行動レベルのパターンだということでもあります。

振る舞いベースの検知に軸を移す

Trend Microはレポート末尾で、AIによって短時間で再生成される攻撃コンポーネントに対して、防御側は静的なインジケータより、振る舞いベースの検知を優先すべきだと明示しています。同社が挙げている主な観測ポイントは次の通りです。ファイル名やレジストリキー、APIパスといった値は再生成のたびに変わりうる一方、これらの行動パターンは維持される傾向にあると位置付けられています。

• ポーリング挙動:/api/v1/updateなどへの固定間隔(本件では5秒)のHTTP GETポーリング。
• 非標準HTTPヘッダー:コンピュータ名とユーザー名を組み合わせた独自ヘッダーを送信する挙動。
• User-Agentの不整合:PowerShellスクリプトからブラウザ風のUser-Agent文字列が送出される状態。
• 非標準パスのsvchost.exe:%APPDATA%配下など、通常svchost.exeが存在しないパスからの実行。
• WMIサブスクリプション:Win32_PerfFormattedData_PerfOS_System上のWMIフィルタを利用した永続化。
• %TEMP%へのPowerShellスクリプト(.ps1)のダウンロード:win_update_svc_*のようなソフトウェア更新を装った名前でPowerShellスクリプトが取得される状態。

Trend Microはあわせて、ユニークなパスワードの使用を徹底し、正規の漏洩認証情報監視サービスを通じて従業員の認証情報を継続的に確認するとともに、フィッシング耐性のある多要素認証を導入するよう推奨しています。テイクダウン後の攻撃者側の復旧速度が上がっていることを踏まえ、サーバ停止と並行してネットワーク層でのブロックと、ボットの再接続試行を継続監視するといった、迅速な復旧を織り込んだ運用計画も提言されています。

脅威モデルの変化

Trend Microはレポートの結論として、AI時代の犯罪ビジネスがスキルや経験の蓄積ではなく、想像力・創造性・AIエージェントとのやりとりの上手さに依存する形に変わりつつあると総括しています。今回のケースでは、アクターが投入したテキストは全体の11％にすぎず、AIがアーキテクチャ設計の80％、コーディングとシステムコマンド実行の100％、問題診断とデバッグの90％を担当していました。これは単発のツール利用ではなく、AIがアクターの「エンジニアリングチーム全体」として機能した事例と表現されています。

スキルファイル形式のプレーンテキストは、伝統的なマルウェアスキャナで検知される可能性は低く、フォーラムで容易に共有でき、数秒で改変できます。Trend Microは、組み込みの安全機構(ガードレール)を説得やJailbreakによって迂回できた場合、こうしたスキルファイルが他の有能なAIコーディングエージェントでも同様に悪用される可能性があると指摘しています。これはGemini固有の問題ではなく、他のAIモデルにも波及しうる問題だというのが同社の見立てです。

運用担当者・SOCにとってのポイント

本件はGoogleの特定製品の脆弱性ではなく、AIコーディングエージェントの利用形態そのものが攻撃者の生産性を大きく引き上げた事例です。運用側で意識したい観点を整理します。

• 静的IoCへの依存度を下げる:ファイル名・レジストリキー・APIパスといった具体的な値は、AIを使って短時間で変更・再生成される可能性があります。SIEMおよびEDRの検知ロジックを、Trend Microが挙げた行動パターン(固定間隔ポーリング、非標準ヘッダー、非標準パスからのsvchost実行、WMIサブスクリプション、%TEMP%へのPowerShellスクリプト(.ps1)のダウンロードなど)ベースへ寄せていく必要があります。
• PowerShellとWMIの可視化:スクリプトポリシー、実行元パス、スケジュールタスクとWMIサブスクリプションの新規作成イベントを継続的に収集・監査します。攻撃側が管理者権限の有無で永続化手法を切り替えているため、管理者権限がない場合に作成されるスケジュールタスク(例:OneDrive Standalone Update Taskを装った名称)も、同様に監視対象とします。
• クレデンシャル漏洩の常時監視:正規の漏洩認証情報監視サービスを利用し、組織のメールアドレスや認証情報が既知の漏洩データに含まれていないかを継続的に確認します。該当時は強制ローテーションと多要素認証の再確認を行います。漏洩した過去のパスワードを基に、AIが有力な変異候補を生成する手口が実際に観測されているため、既知の漏洩情報を利用したパスワード推測が効率化しうることを前提に対応します。
• テイクダウン後の継続監視:C&Cサーバの停止や妨害だけでは対応が完結しないという前提を持ちます。ネットワーク層でのブロック、ボットの再接続試行の観測、感染端末への内部側の対応をセットで計画します。
• AIエージェントの社内利用ガイドライン:今回はオープンソースで提供されるGemini CLIが悪用された事例ですが、企業側でもコーディングエージェントの利用が広がっています。企業内でAIコーディングエージェントを利用する場合は、利用者が安全機構を回避する指示を与えていないか、GEMINI.mdなどのコンテキストファイルに不適切な永続指示が保存されていないかを確認できる運用が必要です。利用ログ、実行権限、機微情報の取り扱い、コンテキストファイルの管理方針を、AIコーディングエージェント全般の観点で整備することが望まれます。

AIそのものを禁じる方向ではなく、AIによって攻撃に必要な労力が減り、展開や復旧の速度が高まる中で、防御側の検知・対応をどう追随させるかがポイントです。今回のTrend Microのレポートは、その参考点として実際の運用ログに基づく具体像を提示しています。

一次情報・公式情報

• Trend Micro: Six Minutes to Compromise: How ‘Patriot Bait’ Actor Used AI to Build and Deploy a C&C Botnet(2026年7月14日)
• Trend Micro: One Man, One AI, One Fake Persona: Inside the 5-Year Influence and Fraud ‘Patriot Bait’ Campaign(2026年5月)
• Trend Micro: Patriot Bait Used AI for C2 Botnet – Indicators of Compromise(IoCリスト)

参考情報

• BleepingComputer: Google Gemini CLI abused as a hacking agent, malware botnet operator
• The Register: ‘The bots are alive!’ Jailbroken Gemini spun up new C2 server for Russian fraudster in just 6 minutes
• GBHackers: Russian-Speaking Hacker Uses Gemini CLI to Deploy C2 Botnet in Six Minutes
• Cyber Security News: Hacker Used Gemini CLI to Build a Live C&C Botnet in Six Minutes