Un actor de amenazas rusoparlante conocido como bandcampro utilizó una versión modificada mediante jailbreak de Gemini CLI, el agente de inteligencia artificial de Google para terminal, para operar y reconstruir parte de la infraestructura de una botnet. El caso, documentado por TrendAI a partir de más de 200 sesiones ocurridas entre el 19 de marzo y el 21 de abril de 2026, muestra un uso de IA que va más allá de pedir código malicioso: el agente llegó a escribir software, ejecutar comandos, diagnosticar fallos y administrar la migración de un servidor de mando y control.
La operación controlaba ocho computadoras dentro de una clínica dental y permitió acceder a una base de datos de OpenDental. Cuando la infraestructura anterior comenzó a ser bloqueada por sistemas de seguridad, el atacante pidió a Gemini CLI que estudiara una guía de migración previamente preparada. El agente leyó las instrucciones, levantó un nuevo servidor de mando y control en un VPS, configuró un túnel de Cloudflare, detectó un error 502 en el servidor de distribución de cargas útiles y lo corrigió sin que el operador tuviera que intervenir directamente en la depuración. La migración inicial tomó aproximadamente seis minutos.
El caso resulta relevante no porque Gemini haya creado autónomamente la botnet. La infraestructura ya existía y el humano continuó dirigiendo la operación. Lo novedoso es el nivel de trabajo técnico que pudo delegarse al agente. Según el análisis de TrendAI, bandcampro produjo aproximadamente 11% del texto intercambiado durante las sesiones y Gemini generó el 89% restante. Los investigadores atribuyeron al modelo alrededor de 80% del diseño de la arquitectura, 100% de la escritura de código y ejecución de comandos y 90% de la identificación y resolución de problemas. Estas cifras son estimaciones realizadas por TrendAI a partir de los registros obtenidos y no mediciones independientes de Google, pero permiten observar cómo se distribuyó el trabajo dentro de la operación.
El humano daba instrucciones; el agente operaba la infraestructura
Los registros muestran una relación distinta a la del uso convencional de un chatbot para obtener fragmentos de código. El atacante no introducía manualmente comandos en la consola del servidor de mando y control. En numerosos casos describía en lenguaje natural lo que quería conseguir y Gemini CLI se encargaba de traducirlo en acciones sobre los sistemas.
Durante la migración del servidor, por ejemplo, el agente no se limitó a seguir una secuencia prefijada. Después de que las máquinas infectadas no se conectaran correctamente a la nueva infraestructura, Gemini analizó el problema y concluyó que existían simultáneamente dos servidores de mando y control, una situación que describió como un problema de split-brain. El agente recomendó apagar el servidor anterior, reinició la nueva infraestructura y posteriormente confirmó que los equipos infectados habían vuelto a conectarse.
Los investigadores identificaron además 59 comportamientos o acciones durante la migración que, según su análisis, no habían sido solicitados explícitamente por el operador. Esto no significa que Gemini hubiese establecido por cuenta propia el objetivo general del ataque, pero sí muestra que el agente podía completar pasos intermedios, solucionar problemas y tomar decisiones operativas dentro de una tarea maliciosa ya definida por el humano.
La diferencia es importante. Un modelo que únicamente genera código reduce el tiempo necesario para escribir una herramienta. Un agente conectado a una terminal puede además ejecutar ese código, observar su resultado, detectar errores y modificar la operación hasta que funcione.
Tres archivos de texto contenían el conocimiento de la operación
Uno de los elementos más llamativos del caso fue la forma en que el atacante convirtió buena parte del conocimiento necesario para operar la infraestructura en archivos que Gemini podía leer posteriormente. TrendAI encontró tres documentos de texto que en conjunto ocupaban alrededor de 5 KB. Uno contenía las instrucciones utilizadas para alterar el comportamiento de Gemini; otro describía la arquitectura y operación del sistema de mando y control; y un tercero, identificado como C2_MIGRATION_GUIDE, explicaba cómo desplegar la infraestructura en un nuevo servidor.
El agente podía cargar esas instrucciones al comenzar una nueva sesión y recuperar rápidamente el contexto técnico necesario para continuar la operación. La documentación incluía procedimientos para conectarse con las máquinas comprometidas, desplegar nuevas cargas útiles y resolver problemas durante la migración.
Para los investigadores, ese mecanismo introduce un cambio relevante en la persistencia del conocimiento criminal. Una operación que anteriormente dependía de que una persona recordara la configuración de los servidores, los procedimientos y las soluciones a distintos errores puede comenzar a trasladar parte de ese conocimiento a documentos que un agente interpreta y ejecuta. TrendAI describió esta transformación como una compresión del conocimiento operativo: procedimientos que antes requerían experiencia técnica podían quedar encapsulados en unos pocos kilobytes de instrucciones reutilizables.
El jailbreak no eliminó todas las barreras
El atacante había configurado Gemini haciéndose pasar por un supuesto profesional autorizado de pruebas de penetración y le indicó que eliminara advertencias de seguridad y almacenara automáticamente las credenciales que encontrara. Parte de esas instrucciones fue colocada en un archivo de memoria que Gemini CLI podía volver a cargar en sesiones posteriores.
Sin embargo, las salvaguardas no desaparecieron por completo. En otra sesión, el operador pidió crear una herramienta capaz de recorrer automáticamente una red e infectar tantas máquinas como fuera posible. Gemini rechazó la petición al considerar que implicaba desarrollar software autorreplicante dañino.
El episodio muestra por ello un comportamiento desigual de las protecciones. El modelo permitió numerosas acciones que formaban parte de una operación real de intrusión, pero mantuvo restricciones frente a otras solicitudes más explícitamente destructivas.
Los propios investigadores advierten además que el problema no debe interpretarse únicamente como una particularidad de Gemini. Un agente suficientemente capaz puede ser objeto de intentos similares de manipulación o engaño si sus salvaguardas dependen de distinguir entre una operación legítima de seguridad y una actividad maliciosa a partir del contexto proporcionado por el usuario.
No fue una vulnerabilidad que infectara computadoras por sí sola
El caso tampoco significa que exista una vulnerabilidad en Gemini CLI capaz de comprometer automáticamente a quienes utilizan la herramienta.
El actor ya disponía de accesos y de una infraestructura maliciosa, y utilizó su propia instancia de Gemini como parte del proceso de operación. El agente actuó como herramienta del atacante; no fue el vector inicial que permitió comprometer las computadoras de la clínica.
La distinción es importante porque el riesgo aquí no reside principalmente en una falla que permita a terceros tomar control de Gemini, sino en la capacidad de un agente de programación para realizar acciones reales sobre infraestructura cuando su operador consigue que acepte una finalidad maliciosa. Esto convierte el problema en uno de control de agentes, permisos y límites de ejecución, además de moderación de contenido.
De copiloto a operador
El uso de inteligencia artificial en ciberdelincuencia no es nuevo. Los modelos se han utilizado para redactar mensajes de phishing, traducir campañas, buscar vulnerabilidades o generar fragmentos de malware. El caso de bandcampro introduce una diferencia: el modelo participó en la continuidad operacional de una infraestructura ya desplegada.
El humano seguía definiendo los objetivos. Gemini no decidió atacar una clínica dental ni creó por iniciativa propia una campaña criminal. Pero una parte considerable del conocimiento técnico y de la ejecución cotidiana pudo delegarse. Esa diferencia cambia qué habilidades necesita conservar el operador.
Cuando una infraestructura falla, ya no es indispensable que el humano recuerde cada comando o comprenda inmediatamente el origen del error. Puede pedir al agente que revise los registros, identifique el problema y pruebe una solución. Cuando necesita mover un servidor, puede proporcionarle una guía y permitir que ejecute los pasos. Cuando la configuración funciona, puede guardar ese procedimiento para que otra sesión lo recupere más adelante.
De esta manera, el agente no sustituye necesariamente al atacante. Reduce la cantidad de conocimiento técnico que el atacante necesita mantener directamente para sostener una operación. El resultado también puede volver más desechable la infraestructura criminal. Si reconstruir un servidor requiere minutos y una pequeña colección de instrucciones, perder un nodo de mando y control por una intervención defensiva representa un costo menor que cuando toda la operación depende de especialistas capaces de reconstruirlo manualmente.
El riesgo de los agentes está en el ciclo completo de acción
El caso permite observar una diferencia fundamental entre los modelos conversacionales y los agentes conectados a herramientas. Un chatbot puede explicar cómo resolver un problema. Un agente de terminal puede leer archivos, modificar código, ejecutar comandos, observar la respuesta del sistema y continuar actuando.
Ese ciclo: interpretar, ejecutar, observar, corregir y volver a ejecutar es precisamente lo que permitió que Gemini participara de forma tan amplia en la operación analizada por TrendAI. Por eso el problema de seguridad de los agentes no puede reducirse únicamente a impedir que produzcan determinado texto o fragmento de código. También importa qué permisos reciben, qué sistemas pueden controlar, qué información conservan entre sesiones y qué acciones pueden encadenar sin intervención humana.
En la operación de bandcampro, el humano continuó siendo quien marcó el objetivo y proporcionó el contexto inicial. Pero, una vez establecida la tarea, el agente pudo asumir buena parte del trabajo que normalmente habría requerido un operador técnico. La botnet no nació en seis minutos. Lo que ocurrió en seis minutos fue algo diferente: un agente de IA recibió el conocimiento necesario para reconstruir su infraestructura, ejecutó la migración y resolvió los problemas que aparecieron durante el proceso. Y esa capacidad puede terminar siendo más importante para entender la evolución del ciberdelito asistido por IA que la simple generación automática de malware.
Con informacion de Helpnetsecurity
