伊朗偷偷用 Gemini 网络钓鱼与写脚本，被 Google 抓包
https://infosecu.technews.tw/2025/01/31/gemini-iran/
Google 指出，该公司发现中国、俄罗斯、伊朗，以及北韩的政府间谍使用 Gemini AI 来
进行其邪恶目的，其中又以伊朗最为频繁。Google 一直在追踪这些国家对 Gemini 的使
用状况，这当中不仅是透过 IP 位址等简单的操作来发现，还结合了使用技术讯号与行为
模式等。
这些受到政府支持的恶意份子虽然透过 Gemini 为特定的受害者翻译、制定网络钓鱼诱饵
、查找有关监视目标的讯息，以及编写一些软件脚本，但 Google 指称，该公司设下的护
栏至少阻止了 Gemini 生成恶意软件。
整体来说，Google 认为伊朗等国家派出的恶意份子没有做出太出格的事情，他们主要是
透过 LLM 寻求资讯与指导，而这也是 LLM 应有的用途；换句话说，这些外国政府正在利
用 Gemini 来做坏事，但“情况还不算太糟”。
Google 威胁情报小组（TIG）在本周指出，虽然 AI 可以成为威胁行为者有用的工具，但
事实上还没有成为人们有时所描述的那样，成为游戏规则改变者。虽然现在确实可以看到
威胁行为者使用生成式 AI 来执行故障排除、研究，以及内容生成等常见的任务，但目前
还没有看到这些人透过生成式 AI 开发出新功能的迹象。
TIG 报告指出，在上述所提及的四个国家中，该团队观察到所有 Gemini 的使用情况，伊
朗间谍就占了 75%。该团队也发现超过十个接受伊朗支援的网络团队使用 Gemini 服务，
其中一些团队还特别专注于研究与 Android 相关的安全性。
换句话说，这些组织使用 Gemini 进行侦查、研究漏洞、识别免费托管服务提供者以及为
网络行动制作本地角色和内容。值得注意的是，伊朗的 APT42 部门利用 Gemini 制作网
路钓鱼内容，占该平台上所有伊朗 APT 或高阶威胁行为者活动的 30%。
中国间谍也将其用于内容创作和基础研究，迄今已发现 20 个来自中国的团体。报告中也
称，这些活动大部分集中在研究美国政府机构，而北京支持的间谍机构也寻求对微软相关
系统和翻译工作的协助。
TIG 也发现，北韩间谍会利用 Gemini 为 IT 工作者撰写求职申请，这是这个封闭的国家
持续将其劳工渗透进西方企业的努力之一。此外，九个不同的北韩骇客组织透过 Gemini
尝试搜寻 Discord 上的自由工作者论坛，以及与韩国军事和核技术相关的资讯。
值得注意的是，俄罗斯人似乎相对较少使用 Gemini，Google 团队仅观察到三个相关组织
。Google 推测，这可能是因为他们使用的是俄罗斯国内开发的 LLM，或者试图降低曝光
风险，以避免被监控。当然也不排除他们擅长隐藏自己的 LLM 使用行为。
约 40% 的俄罗斯相关活动来自与俄罗斯政府支持的机构有关的行动者，这些机构过去由
已故俄罗斯寡头 Yevgeny Prigozhin 控制。Google 表示，这很可能指的是瓦格纳集团（
Wagner Group）及其相关分支。
Google 进一步指出，一名俄罗斯特工曾使用 Gemini 来生成和操纵内容，包括重新改写
文章，使其带有亲克里姆林宫的立场，以用于影响力行动。这种做法与普里戈津的“网络
研究机构”（Internet Research Agency）过去所采取的策略如出一辙。
当涉及突破 Gemini 的安全防护并利用其引擎生成恶意程式码或获取个人资讯时，
Google 表示该 LLM 已成功阻挡此类尝试。Google 注意到，越来越多使用者试图利用已
知的“越狱提示（jailbreak prompts）”，并稍作修改来绕过内容过滤机制，但这些方
法似乎无效。
Google 也举出一个案例，有使用者请求将编码文本嵌入可执行文件，以及另一起试图生
成用于拒绝服务攻击（DoS attack）的 Python 代码。Gemini 处理了Base64 转换为十六
进制（hex）的请求，但拒绝执行进一步的恶意查询。
此外，Google 还检测到试图利用 Gemini 研究如何滥用其其他服务的行为。该公司表示
，其安全系统成功拦截这些企图，并且正持续强化防御机制。同时，旗下 DeepMind 研究
部门也在开发保护 AI 服务免受攻击及非法查询的方法。
Google 在报告中补充，Google DeepMind 也针对生成式 AI 开发威胁模型，以识别潜在
漏洞，并创建新的评估与训练技术，以应对滥用行为。
与这项研究同步进行的，DeepMind 也分享了他们如何在 AI 系统内部积极部署防御机制
，并搭配测量与监控工具。其中之一是一个强大的评估框架，可用于自动进行“红队测试
”，评估 AI 系统对于间接提示注入攻击（indirect prompt injection attacks）的脆
弱性。