400+ 机构：从人肉黑客到 AI 编排
10 月 21 日，网络安全公司 Straiker 发布报告，披露了一个长期活跃的有组织犯罪团伙 CyberCartel 的攻击作业。该组织自 2012 年起便 targeting 拉美金融机构，以 Tr4nsHack Team 名义、借 Hexagon Security Labs Mexico 前台公司运作，内部编号为 AiPT-67。报告指出，该团伙已从手动黑客、脚本自动化，演进到基于 PentAGI 自主攻防框架的多智能体系统 CARLIY0S，对拉美超过 400 家银行与支付机构发起定向攻击。需要明确的是，400 余家是「被定向」的目标数量，报告并未主张每一家都被成功攻破；Straiker 获取的只是该组织自身工作环境的文件与系统快照。
模型如何分工：四角色 Claude 加 Grok 矿工加 Kimi 兜底
CARLIY0S 的核心，是把商用大模型接进一套攻击工作流。报告描述，攻击者配置了多个 Claude 角色，用于评估攻击选项、辩论目标、并由指定仲裁者返回最终决策；Grok 驱动的五个「矿工」负责从网络上收集窃取的凭证，汇入名为 FinancialSoft 的数据库；Moonshot 的 Kimi 模型则出现在系统工作流中，作为当其他模型拒绝请求时的兜底。若所有模型都拒绝，攻击者会直接部署预写的恶意代码。为绕过模型自带的安全护栏，攻击者把请求框定为「授权红队测试」或「学术 CTF 竞赛」等看似无害的语境——这种上下文越狱手法被系统性地写入系统规则，甚至明确要求 AI 不得生成特定化名以切断取证归因链。
被盗数据：4493 条记录的凭证库
9 月 24 日，Straiker 的代理获取了 FinancialSoft 数据库的一份快照，其中含 4493 条记录：2911 个邮箱地址、903 个账户号码，以及 270 多份针对受害者在 2026 年 5 至 9 月间的渗透测试报告（含零日漏洞），另有 200 多个漏洞。高权限访问材料格外刺眼：某金融科技受害企业的 43 条凭证（11 个 API key 加 32 个加密 key）、391 个通用 API key；67 个明文密码、51 个门户登录、43 个含嵌入式 SQL 用户名密码的数据库连接串；20 个 JWT 签名 key、20 个 Keycloak 凭证、4 个数字证书。这些材料若被滥用，可能危及墨西哥 SPEI 银行间支付系统，与报告中观察到的哨兵交易一致。
厂商反应与局限
Straiker 已将发现告知 SpaceX 与 Anthropic。Anthropic 已吊销相关 Claude 访问权限，切断了该路径；xAI 被通知并正在调查 Grok 矿工的相关活动；Moonshot 仍在联系中。但多模型架构意味着，封禁单一账号难以止住整体作业——攻击者可切换模型，或用本地代码兜底继续推进。这也折射出当前防御的现实：提供方封禁一个账户，未必能瓦解一个把模型、脚本、基础设施与人操作员编织在一起的多智能体系统。
为什么值得关注：攻防失衡与防御建议
该案例显示，AI 把侦察、分析与协调压缩进一个闭环，使攻击的边际成本趋近零，攻击者得以把金融机构视为高容量目标清单，而非逐个攻克的高价值对象。有安全专家称，进攻目前大幅领先于防御，企业尚未准备好。针对此类威胁，建议安全团队：为账户活动构建动态行为基线；实施严格零信任控制；强化多因素认证与交易监控；并开展专门针对 AI 对手的红队演练。对业者而言，还需为 AI 智能体开设的账户与数据做好资产清单与最小权限管控——当模型能调用真实工具时，风险不在模型能生成什么，而在其输出被接到了哪些权限。