Google 开源 Gemini CLI 被滥用：俄语威胁行为者将其用于攻击代理与小型僵尸网络操作
据 BleepingComputer 来源显示，一名使用“bandcampro”名号的俄语威胁行为者，滥用了 Google 的开源 Gemini CLI AI 工具，将其作为黑客攻击代理，并用于操作一个小规模恶意软件僵尸网络。该消息发布时间为 2026 年 7 月 16 日。事件本身并不意味着 Gemini CLI 工具存在必然安全缺陷，而是再次提示：当 AI 命令行工具具备自动化、脚本调用和系统交互能力时，一旦被攻击者接入恶意流程，可能被放大为攻击链中的执行与编排组件。
事件要点：AI CLI 工具为何会被攻击者看中
Gemini CLI 属于面向开发者和技术用户的开源命令行 AI 工具。此类工具通常可在终端环境中运行，配合脚本、系统命令、代码仓库和自动化任务使用。来源显示，名为 bandcampro 的威胁行为者将其用于黑客代理和小型僵尸网络运营，这说明攻击者并不只关注传统漏洞利用工具，也会尝试把通用 AI 工具纳入攻击自动化流程。
从安全角度看，AI CLI 的风险并不只在“生成代码”本身，而在于它可能连接到更广泛的执行环境：本地文件、云端凭据、终端命令、开发脚本、远程服务器和日志系统。如果攻击者已获得某台设备或服务器的初始权限，类似工具可能被用来辅助整理信息、生成命令、批量执行任务或维持自动化操作。
- 工具被滥用：来源称攻击者使用的是 Google 开源 Gemini CLI，而非自研 AI 平台。
- 角色发生变化：AI 工具不再只是问答助手，可能被嵌入攻击脚本或控制流程。
- 规模有限但信号明确：来源描述为小规模僵尸网络，仍反映出攻击者正在测试 AI 工具的实战价值。
- 跨境用户需关注终端安全：远程办公、开发运维、海外账号管理场景更依赖命令行与自动化环境。
对跨境账号、支付与远程办公的影响
对普通跨境用户来说，这类事件的直接影响未必是某个 Google 服务无法使用，而是账号与设备环境的安全边界正在变复杂。很多人需要同时管理海外平台账号、广告后台、云服务器、收款工具、加密钱包、跨境电商店铺或远程办公系统。如果工作电脑、VPS、开发机或浏览器配置文件被恶意程序控制，攻击者可能借助自动化工具进一步扩大影响。
尤其是跨境业务常见的“多账号、多地区、多设备”模式，容易形成较长的权限链：邮箱绑定支付平台，支付平台绑定店铺后台，店铺后台又连接广告账户、仓储系统和客服工具。若其中一台设备感染恶意软件，攻击者未必马上盗号，而可能先收集环境信息、会话状态、API Key、SSH Key 或浏览器 Cookie，再选择更高价值的入口下手。
远程办公团队也应注意，AI CLI 常被部署在开发环境或运维机器上。如果企业允许员工自行安装开源 AI 工具，却缺少权限控制、日志审计和密钥隔离，那么一旦终端失守，工具链可能被恶意调用。这里的关键不是“是否使用 AI”，而是AI 工具是否拥有过高权限、是否可访问敏感凭据、是否能直接执行影响生产环境的命令。
建议：把 AI 工具纳入终端与账号风控
面对这类趋势，跨境用户不需要恐慌，也不应简单地把所有 AI 工具视为高危。更务实的做法是，将命令行 AI、自动化脚本、浏览器插件、远程控制软件和 VPN/代理环境一起纳入安全管理。访问环境稳定固然重要，但安全性更取决于设备是否干净、权限是否最小化、账号是否启用多重验证，以及支付与后台操作是否有异常提醒。
建议个人和团队优先检查几类风险点：第一，开发机和办公电脑中是否保存明文 API 密钥、支付后台恢复码或云服务凭据；第二，是否存在长期不更新的开源工具和脚本；第三，远程服务器是否允许弱口令或过宽的 SSH 登录范围；第四，是否把日常浏览、收款管理和代码执行放在同一个高权限环境中。
对跨境工作流而言，VPN、代理或远程桌面只能解决访问路径和地区连通性问题，不能替代终端防护。更稳妥的做法是为支付、账号管理和开发运维建立分离环境，并对关键账号启用 MFA、登录提醒和设备审核。此次事件的警示在于：AI 工具正在进入攻击者工具箱，跨境用户也需要把它纳入日常安全基线，而不是只关注网络能否连接。