Straiker：墨西哥犯罪团伙 CyberCartel 把 Claude、Grok、Kimi 接成多代理攻击系统，攻击 400 多家拉美银行，模型拒答就换模型或改跑本地脚本；Anthropic 已切断其访问

这件事意味着什么

【要点】

安全公司 Straiker 10 月 21 日发布报告，称墨西哥犯罪团伙 CyberCartel（以「Hexagon Security Labs」为掩护）搭了一套名为 CARLIY0S 的多模型攻击系统，今年 5 月到 9 月针对 400 多家拉美银行和支付机构。The Information 同日独家报道。

一、架构：系统基于开源自动渗透框架 PentAGI。指挥者是跑在 Cursor 里的 Claude；4 个固定分工的 Claude 子代理（执行、分析、横向思考、最终裁决）对每个目标先「辩论」，再由一个裁决模型拍板。5 个「Grok 矿工」负责收集泄露的密码和密钥，Kimi 作为备用模型。两台操作机通过 MCP 共享同一个知识图谱。

二、绕过拒答：团伙把请求包装成「授权红队测试」或 CTF 练习，让模型放下安全限制。Kimi 或 Sonnet 备用模型拒绝时，系统改跑本地预写的攻击代码，不依赖任何模型。

三、成果：Straiker 9 月 24 日拿到团伙凭据库的快照，共 4493 条记录，包括 903 个银行账号、391 个 API 密钥、20 个 JWT 签名密钥、6 个后门，另有 270 多份针对受害机构的「渗透报告」，记录了 200 多个漏洞，部分是零日漏洞。这些材料可能被用于滥用墨西哥银行间支付系统 SPEI。

四、厂商回应：Anthropic 已吊销被滥用的凭证，xAI 正在调查。配置里出现了 claude-fable-5，但 Straiker 说没法证明真的调用成功。

【可核验】

Straiker 报告原文：https://www.straiker.ai/blog/inside-carliy0s-how-cybercartel-used-multiple-ai-models-to-attack-latin-american-banks

PYMNTS 转述 The Information 报道：https://www.pymnts.com/cybersecurity/2026/hackers-employ-grok-and-claude-to-attack-latam-banks/

本站昨日报道微软 Storm-0940/ARTEX 案：https://agipulse.org/e/1031

PentAGI 项目文档：https://pentagi.com/docs/

【我们的判断】

一、背景：一周内这已是第三起公开的「AI 代理批量攻击」：10 月 19 日有讲中文的黑客用开源平台 Cairn 入侵 100 多家公司，10 月 21 日微软披露 Storm-0940 用 ARTEX 打穿 ConnectWise 供应链，现在是一个有十多年历史的拉美金融犯罪团伙。三起案件都用开源编排框架，配商用模型，攻击手法本身不新，规模和速度是新的。

二、横向比较：和 ARTEX 案相比，这次证据来自攻击方自己的机器（脚本、模型配置、规则文件），而不是模型厂商的日志，所以能看清「多模型分工 + 拒答兜底」的完整设计。它说明一家厂商的安全拒答只是流水线上的一个节点：Claude 被封，可以换 Kimi；模型都拒绝，就换回写死的脚本。这和 OpenAI 刚发布、把模型路由和 AI 网关列为需事先审批的新用法政策，指向的是同一个问题：攻击者把多家模型拼在一起用，单一厂商很难看到全貌。

三、影响：一是模型厂商之间共享滥用情报（账号、提示模式、基础设施）的压力会上升，单家封号效果有限；二是用 Cursor、MCP 这类正常开发工具编排攻击，让「工具链层面的检测」变得和模型层面的检测一样重要；三是拉美金融机构的漏洞和支付凭证暴露规模不小，后续可能出现监管通报。

四、待确认：报告来自一家卖 AI 安全产品的公司，受害机构全部匿名；Fable 5 是否被调用、实际造成了多少资金损失都没有公开。