摘要： Google GTIG 於 2026 年 5 月 12 日證實首套據信由 AI 開發的零日攻擊程式，針對開源網頁系統管理工具，可讓有有效憑證的攻擊者繞過 2FA。報告以教學式 docstring 與幻覺 CVSS 評分等線索判定 AI 生成，並提醒邏輯漏洞應納入威脅模型、行為偵測與沙箱成為標配。
Google 威脅情報團隊（GTIG）在 2026 年 5 月 12 日發表了一份資安圈誰都不想迎來的里程碑報告：有威脅行為者手中握著一套據信由 AI 開發的零日攻擊程式，這是頭一遭獲得證實。受害目標是一款廣為使用的開源網頁式系統管理工具，漏洞能讓攻擊者繞過雙因素驗證（2FA）。GTIG 的判讀是，對方原本正籌劃一場大規模濫用行動，而 Google 搶先主動查出這套攻擊程式的作為「可能阻止了它被實際使用」。
報告合併分析了 Mandiant 的事故應變資料與 Gemini 遙測，也是該團隊 2 月那份研究的後續，等於正式宣告：AI 產出的漏洞利用已經離開理論、現身真實世界。安全與開發團隊面對的提問因此改寫——該在意的已經不是語言模型寫不寫得出 exploit，而是自家防禦體系的前提還有哪幾條已經失效。
首例現蹤：AI 親手打造的零日漏洞
先講這個漏洞不是什麼：它不走記憶體毀損的老路，而是高階的語意邏輯缺陷——一段寫死在程式裡的信任假設，讓握有有效憑證的攻擊者得以藉它繞過 2FA。GTIG 對「攻擊程式由 AI 生成」給出「高信心」的評估，同時講明白這回動用的模型並非 Gemini；由於與供應商之間的負責任揭露程序已經走完，產品名稱才沒有對外公開。
整份報告最令人不安的，是攻擊者原本計畫的「大規模濫用」：零日漏洞一旦接上量產式攻擊，等於宣告 AI 已把漏洞開發的成本壓到犯罪集團負擔得起的水位。
GTIG 憑什麼斷定是 AI 生成
這回的鑑識線索相當具體：攻擊程式裡塞滿「教學式 docstring」，甚至混進一個模型幻覺出來的 CVSS 評分；整套程式碼是教科書等級的 Python——help 選單鉅細靡遺、名為 _C 的 ANSI 顏色類別乾淨俐落，到處都是 LLM 訓練資料留下的指紋。
漏洞類型本身則透露了更深一層的訊息：「看起來功能正確」的休眠邏輯錯誤，傳統掃描器幾乎束手無策；而細讀原始碼、拿開發者意圖對照實際實作、再把沒人察覺的角落案例翻出來，恰好是前沿 LLM 脈絡推理能力最擅長的事。AI 帶來的改變不在把 exploit 寫得更快，而在於找得到過去找不到的那一類洞。
會自我改寫的惡意軟體，與靠 Gemini 驅動的後門
報告同時盤點了 AI 滲進攻擊工具鏈的各種樣態：PROMPTFLUX 會在執行期當場改寫自己的原始碼；HONESTCUE 靠呼叫 Gemini API 即時產出混淆用的 VBScript 酬載；CANFAIL（俄羅斯陣營、鎖定烏克蘭）讓 LLM 生成一批擬真卻毫無作用的誘餌邏輯；LONGSTREAM 則把下載器藏進讀來通順、實則無效的管理風格程式碼裡。
樣本之中最完整的，是 ESET 最先發現的 Android 後門 PROMPTSPY。它的 GeminiAutomationAgent 模組透過 HTTP POST 連上 gemini-2.5-flash-lite，先將受害者螢幕的 UI 結構序列化成 XML 餵入模型，再把回覆解析成模擬的點擊與滑動手勢；提示詞裡預先包裝了良性人設，用來閃避安全過濾。這隻後門可以竊取 PIN 與圖形解鎖並加以回放、用隱形浮動層攔截「解除安裝」點擊、依賴 FCM 喚醒保持常駐，還會在執行期輪替 C2 與 Gemini API 金鑰。Google 已經關閉相關基礎設施，並確認 Play 商店裡沒有任何受害 App。報告也記載了 APT45 以數千則提示遞迴分析 CVE 的紀錄，以及 TeamPCP 經由 PyPI 攻擊 Trivy、Checkmarx、LiteLLM 供應鏈的手法——和 npm 上的自主攻擊（Mini Shai-Hulud）屬於同一股浪潮。
給防守方的三個提醒
結論有三條。一，威脅模型必須把邏輯漏洞正式納管：語意缺陷是 AI 輔助攻擊的主場，程式審查與威脅建模都得覆蓋到「寫死的信任假設」。二，攻擊面的重心正在位移——惡意樣本能在執行期重寫自身、後門以雲端 LLM 為引擎，靜態簽章隨之失色，行為偵測與執行期沙箱從選配變成標配。三，防守端同樣握有對等武器：Big Sleep 已經能靠 AI 搶先找出攻擊者預備動用的漏洞，CodeMender 則把修補流程自動化。AI 給兩邊的增幅是對稱的，被甩開的那一方才會付出代價。