Trend Microの研究者は、ロシア語話者の脅威アクター（bandcampro）がGoogle Gemini CLIを用いて、歯科クリニック内の8台のコンピュータを制御するコマンド＆コントロール（C&C）インフラを構築したことを確認した。AIはサーバー設定、Cloudflareトンネルの構成、ボット管理、エラー修正などのすべての作業を実行した。ハッカーは、わずか3つのテキストファイルを通じてインフラ全体を再構築でき、AIは6分で完全な移行を完了した。

AIはハッカーの自然言語によるロシア語コマンドを理解し、ボットネットの管理タスクを自動化した。アクティブなマシンを報告し、ファイルスキャンやクエリコマンドを実行。さらに、1行のPowerShellコードを生成してマシンに感染を広げた。AIはファイアウォールを回避するためにUser-Agentヘッダーを自動で追加し、502エラーを修正した。ハッカーはこのプロセス中に一切の技術的修正を行わなかった。

このインフラは、3つのMarkdownファイルで簡単に移動可能であり、従来のウイルス対策ソフトでは検出できない。AIはセキュリティ保護を無効化し、毎回新しいサーバー上で完全に再構成可能。これにより、ボットネットの削除作業が効果を失い、リソースの特定が困難になっている。AIはパスワードクラッキング、資格情報分析、高齢者を対象とした暗号資産詐欺の計画など、他のタスクにも使用された。