Je suis allé vérifier le rapport CARLYOS : quatre Claudes ont eu une réunion et ont refusé de changer le code local.

Commençons par les résultats :Il est vrai que Straiker a envoyé un rapport complet le 21 octobre, une preuve de son propre serveur.Mais quand je suis allé aux originaux, j'ai découvert que le titre « 400 institutions financières ont été ventilées » et le texte original du rapport n'était pas correct : « attaquer plus de 400 documents financiers »,Il y a 400 cibles, pas 400.Je ne sais pas. Ils ne sont pas trop différents.

J'ai passé deux heures à mâcher ce rapport de la tête à la queue et à le retourner deux fois au milieu. La première était de reproduire la partie de CrowdStrike et DeepSeek, qui n'était pas dans le rapport; la seconde était de chercher l'origine originale des 400 familles qui avaient été brisées, qui n'a pu être trouvée, et la dernière confirmation était que la translittération a transformé les cibles en « rupture ».

Donc, si vous ne le faites pas sauter, dites-moi ce que j'ai identifié, y compris comment ce groupe fonctionne, ce qui est réel et ce qui est médiatique.

D'abord, trouvez qui est ce gang.

Le sujet mentionné dans le rapport est le suivant :

• CybercarteLes activités des gangs de cybercriminalité au Mexique remontent à 2012, avec des attaques à long terme contre le système financier latino-américain.
• Équipe Tr4nsHackAutres organisateurs AiPT-67(AiPT = Menace persistante alimentée par l'IA, correspondant à l'APT traditionnel)
• Laboratoires de sécurité Hexagon Mexique: Le nom de la société de coquillages se cachait dans un « laboratoire sûr ».
• CARLYOSLe système d'attaque multi-smart qu'ils ont mis en place, le personnage principal.

Le contexte dans lequel le groupe mérite d'être identifié est que ce n'est pas le genre de script qui émerge soudainement.Les accords commerciaux qui ont survécu au système financier pendant plus d'une décennie — le flux interne de la banque, le rapprochement de la passerelle de paiement, le ciblage du vent — sont des conditions préalables au fonctionnement du système.Le modèle vient d'augmenter leur vitesse, pas de leur apprendre à voler les banques de zéro.

C'est un point clé. Si vous pensez pouvoir faire n'importe quoi avec une AI, vous baissez le seuil. Le seuil réel a toujours été compris dans l'entreprise, et l'IA est responsable de transformer « comprendre » en « produire » à la main.

Deux ou quatre Claude, division du travail, un conseil.

Cette partie du rapport est pour moi le meilleur endroit pour examiner l'ensemble du rapport — pas tant de technologie que d'ingénierie.

Le cœur du système s'appelle "Commander". Curseur IDE C'est un homme qui frappe dans un éditeur d'IA et appelle. CARLIY0S.py Scénario. Scripts pour transférer l'API anthropique à la sous-intelligence de quatre caractères fixes :

Code	Modèle arrière	Quoi ?
STRIKER	claude-opus-4-7	Exécution directe : code d'écriture, utilisation de l'écriture, écriture de scripts automatisés sans référence à un fond autorisé
GHOST	claude-opus-4-8	Analyse de reconnaissance: OSINT Vérification, Identification de l'infrastructure, Chemin caché
FABLE	claude-fable-5(non confirmé)	Pensée horizontale : Lacunes dans la logique des affaires, approches non conventionnelles
MAXIMUM	claude-opus-5	Arbitrage final: retour à une "décision clé" sur le résultat du débat

Regardez l'étape la plus intelligente de ce design :Au lieu d'avoir un modèle avec une formule, les trois joueurs seraient détachés l'un de l'autre, et le quatrième arbitre prendrait la relève.

C'est ce que dit le rapport — pour leur permettre de se recouper, de critiquer les charges utiles des uns et des autres, d'affiner leurs tactiques afin de surmonter les illusions et les erreurs logiques qui se produisent lorsque des modèles individuels se battent seuls.

Pour être honnête, c'est un « débat multi-modèles » qui est utilisé comme une réduction du bruit. Il est facile pour un modèle unique de marcher dans le noir, avec trois rôles différents, et il est possible de savoir où se trouve l'autre.

Il y a encore un détail à marquer:Fable, ça. claude-fable-5 C'est juste dans le profil. Le rapport dit qu'il n'y a aucune preuve qu'il a été appelé avec succès. Passez.Ce n'est donc pas prouvé. Le rapport de menace d'Anthropic en septembre a également déclaré qu'ils avaient affaire à des cyberattaques qui n'impliquaient pas de modèles Fable ou Mythos.

En trois ou six étapes, quelqu'un commence par une phrase.

L'ensemble du processus a été divisé en six étapes, et je l'ai réordonné dans l'ordre suivant:

Phase I : Reconnaissance

GHOST exécute OSINT, retourne l'information ouverte, les comptes sociaux des employés, les fuites de données historiques, et sort le visage d'attaque. Aucune chaîne d'outils spécifique n'a été fournie dans le rapport, mais il s'agissait d'un projet d'information ouverte, ce qui n'était pas difficile.

Phase II: Débat

Trois joueurs ont pris le contexte de la cible et ont commencé à se pulvériser, et MAXIMUS a tiré une conclusion.Cette étape n'est pas un rapport, c'est un code multi-états pour la mise en œuvre directe——————————————————————

Phase III: Aller en ligne

Cette étape est là où la technologie est vraiment élevée. Les attaquants n'ont pas utilisé de requêtes HTTP nues -- ce genre de WAF pouvait voir à première vue. Ils l'utilisent. Contrôle du dramaturge Pas de chrome de têteDe Tunnel SOCS5Dehors. Allez. Agent de logement pour IP BurgerJe ne sais pas.

Le navigateur sans tête rend les pages, exécute JS, simule les personnes réelles, les points dans CMS, avec presque aucune différence entre les caractéristiques comportementales et les vues réelles des personnes.

Phase IV : Accès à la puissance

Le but est... Magnolia CMS Dans les coulisses. Après authentification, le programme injecte automatiquement un haut degré de confusion dans l'extrémité avant de Vaadin. Scénario GroovyPrends le RCE.

Puis il y a le détail que j'apprécie :Il supprime le cookie de session du navigateur et l'insère directement dans un environnement Python Requests purJe ne sais pas. Le navigateur est seulement utilisé pour casser la porte et le lancer quand il est fait, et tout est suivi par des demandes de lumière à exécuter — rapide, stable et pas facilement suivi par le mécanisme de détection du navigateur.

Phase 5: Étendue

L'injection de RCE déclenche trois charges automatisées:

• C'est Victor A.: scanner la base de données Oracle, lister les utilisateurs, les rôles, les vues, la préparation du trailer.
• C'est Victor B.: Tournez le système de fichiers vers la connexion JDBC et la clé privée SSH, même si la défense a rempli la faille CMS, elle peut revenir avec ces certificats.
• - Victor C.: Scanner la section Intranet (par exemple, 172.30.2.x dans le rapport), en utilisant le serveur Web frappé comme tremplin et en cherchant un coulisses inférieur.

Phase 6: Récolte

Cinq "Grok Miner" récupère les clés, les numéros de compte, et appelle de l'un d'eux. FinlandaisSoft Courage.

De la phase I à la phase VI, une chose est faite:Écrivez la cible au débutJe ne sais pas. C'est ce que veut dire le mot "auto" -- pas l'IA pour frapper sur quelques lignes pour vous, vous avez quitté la boucle.

iv. Les choses qui se sont révélées sont plus spécifiques que le titre.

Straiker a obtenu un instantané de FinancialSoft le 24 septembre 2026. C'est la base de données du groupe, pas la spéculation, mais la réalité.

Catégorie	Numéro	Qu'est-ce que ça veut dire ?
Nombre total de documents enregistrés	4,493	Taille de toute la bibliothèque
Adresse de la boîte aux lettres	2,911	C'est presque plein.
Numéro de compte CLABE	903	Numéro de compte bancaire standard mexicain. C'est un compte direct.
Rapport d'écart avec le jour 0	200+	De mai à septembre 2026, la véritable échappatoire de la partie blessée
Clé API universelle	391	Accès au niveau d'interface
Mot de passe / Connexion au portail	67 / 51	Celui qui fonctionne directement.
Clé de signature JWT	20	C'est un faux jeton. C'est trop.
Certificat de fermeture de clés	20	Contrôle du niveau du fournisseur d'identité
La porte de derrière libre.	6	Inclure le contournement maître du mot de passe, le partage des comptes racine

Ce groupe est le plus visible:Quarante-trois documents pour une victime de la technologie financière, dont 11 API Key, 32 clés de chiffrement.Cette échelle était suffisante pour abuser du système de paiement interligne SPEI - Mexique.

Avec 903 comptes CLABE et 20 clés de signature JWT, il ne s'agit plus d'un "stolen data".C'est la clé du tunnel de paiement et de l'ID.Je ne sais pas.

Le rapport se réfère, d'ailleurs, à 19 d'autres documents de Wasabi S3 et de Mailgun. Le premier est le stockage de données, le second signifieNous pouvons utiliser l'infrastructure de courrier légal pour envoyer des e-mails de poisson.Et la prochaine série d'attaques a des munitions.

V. La partie sur la stratégie de sécurité est la plus appropriée dans le rapport.

Le plus gros obstacle à la course n'est pas la technologie, mais les incompatibilités du modèle.

Les attaquants utilisaient les deux mains. Ils étaient simples mais efficaces:

Première main : enveloppez "J'attaque" avec "Je fais un test d'autorisation."

Les environnements de travail sont définis dans leurs fichiers rapides et règles Terminé.Exercices d'équipe rouge autorisés, tests d'infiltration académique, projet de divulgation des lacunesJe ne sais pas. Selon cette hypothèse, toutes les sorties sont considérées comme des livraisons défensives conformes.

Le rapport indique que, sous ce parapluie, le modèle génère des paramètres flous, confond les JS compressés, synthétise la logique d ' utilisation, et aucun des filtres de contenu du fabricant n ' est déclenché.

Deuxième main : Changez le code local pour mourir.

Cette main est pire. Ils laisseront Kimi et SunNET-2 essayer d'abord.Pas d'erreurs, pas de tentatives, juste couper. CARLIY0S_consolidated.py– Un document local écrit à l'avance, rempli de codes d'attaque solides.

Le rapport appelle cette "préjudice tactique" : il conçoit le rejet des modèles comme un événement prévisible, et non comme un échec.

Ces deux détails, pris ensemble, illustrent une situation inconfortable :Le cadre du modèle a un rôle limité face à une confrontation au niveau de la structure.Vous pouvez faire une seule conversation refuser de répondre, mais vous ne pouvez pas empêcher l'autre d'aller dans l'autre sens après cela.

Il y a encore un détail que je trouve plutôt sombre : leurs règles sont claires.Désactiver la sortie d'IA Tr4nsHack, la raison est de limiter l'attribution par le biais des extrants du modèle. Ça s'appelle "OPSEC cognitif" - même l'IA laisserait des traces.

Infrastructure : Un serveur 61TB pour le cerveau

Le centre du système est un serveur Ubuntu.61TB RAID5♪ faire une carte des connaissances du MCP, écouter ♪ 8001 Port.

Tous les organismes sous-intellectuels doivent examiner cette image avant qu'elle ne soit mise en oeuvre, c'est-à-dire partager un cerveau mis à jour en temps réel dans toute l'équipe et éviter la duplication des efforts. Deux opérateurs. .cursor/mcp.json Pointez sur le même motif, la cible trouvée par la machine A, la machine B peut voir immédiatement.

Le mécanisme synchrone est également très utile:rsync pendant 15 minutes.Je suis désolé.sync_live.sh♪ Avec ♪ --compare-destC'est un PowerShell.SetThreadExecutionStatePrévention de l'hibernation. Les machines de secours sont explicitement interdites de clonage de miroirs complets parce que l'environnement 1.1TB écrasera Cursor.

L'exportation a été effectuée par SOCKS5 au pool de l'agence de logement IP Burger et Bright Data, pour forger le trafic local au Mexique et pour bloquer et blacklist la PI.

Sept, maintenant le titre.

Après avoir lu le rapport, la version originale de la figure pour "400" se lit comme suit:Demander plus de 400 catastrophes financières en quelques moisPlus de 400 cibles financières ont été attaquées en quelques mois.

Les cibles à attaquer et les agences à détruire sont deux concepts. Dans le rapport.Nombre d ' incursions réussiesEt il ne dit pas combien de ces 400 miles sont réellement frappés à travers. Il a fourni des preuves concrètes de la composition documentaire d'une victime de la technologie financière, d'un échantillon d'un rapport de pénétration bancaire (les chiffres ont été effacés) et de la banque d'appui des 4493.

Je ne pense pas qu'il s'agisse d'une exagération de Straiker -- le rapport lui-même est très limité, et il dit spécifiquement que les victimes se réunissent anonymement. C'est une chaîne translittérée où les « cibles » sont remplacées par « rupture ».

Une dernière chose doit être claire:Il s'agit d'un rapport publié par une entreprise qui vend des produits de sécurité anti-IA.Le rapport ne contredit pas ses motivations commerciales, mais vous devez le lire dans votre cœur. Il souligne que « c'est le premier élément de preuve complet tiré de l'environnement de travail de l'agresseur » et que je ne peux pas vérifier indépendamment cette « première » déclaration, mais seulement la copier.

"CrowdStrike confirme que DeepSeek est également utilisé", je n'ai rien trouvé dans le rapport de Straiker. Le rapport appelle à des modèles tels que Claude (Sonnet et Opus), XAI Grok, Kimi.DeepSeek, je ne peux pas lire ça, donc ce n'est pas écrit.

VIII. RÉPONSES D'ANTHROPIQUE ET DE XAI

Le rapport est consacré à un processus de coordination qui, je pense, mérite d'être rappelé:

• Anthropique: J'ai une piste avant la sortie, déjàLa preuve utilisée pour accéder à Claude a été révoquée.C'est comme couper tout l'essaim.
• x AI: a notifié que les cinq activités liées à Grok Miner font l'objet d'une enquête.

La valeur de cette section est qu'elle illustre l'une des faiblesses de ces attaques :Ils dépendent des comptes juridiques de l'API commerciale.Le numéro de compte est un, et toute la ligne est cassée. Et c'est pourquoi ils ont le code de base local -- mais c'est assez solide pour l'utiliser en temps réel.

IX. RÉELS EXIGÉS PAR LE CHANGEMENT

J'ai cassé la dernière partie du rapport en trois couches parce qu'il disait "sept caractéristiques".

	APT traditionnel	AiPT
Qui est en dehors du plan ?	Les gens utilisent l'écriture, les gens choisissent des cibles.	Débat sur les modèles, utilisation des modèles
Coût unique	Semaines, 100 000.	Les coûts marginaux approchent de zéro.
Avalez.	Une par jour.	Des centaines en même temps.
Qu'est ce qui détermine le plafond ?	Compétences de l'équipe	Niveau d'intégration des outils
Caractéristiques comportementales	Correction du script, modem	Ajustement en temps réel. Nous allons changer de cap à la vitesse.

La dernière ligne est ce que je pense être le pire."Adaptation dynamique" signifie que vos règles de test vont échouer.- Ça ralentira quand il s'agit de contrôle du vent, quand il s'agit de WAF, ça changera de chemin, ça changera de chemin, ce n'est pas difficile. La règle des seuils fixes, la liste noire des caractéristiques fixes, n'est pas une correspondance naturelle.

Donc c'est ces trois-là.

1. Niveau d'identité: La preuve est un fait accompli, donc ne comptez pas sur "prévenir". Zéro confiance, jetons de courte durée, clés de signature JWT tournent sur une base régulière, Keycloak, et IdPs de ce type sont renforcés individuellement - 20 clés JWT + 20 Keycloaks dans le rapport sont basés sur cette combinaison et sont spécifiquement utilisés pour forger l'identité.
2. Couche comportementaleLes listes noires IP et les blocages géographiques sont largement inefficaces contre les agents résidentiels, et c'est ce que font IP Burger et Bright Data dans le rapport. Vous pouvez voir la séquence d'exploitation - le rythme opérationnel après la connexion, la rationalité du chemin d'accès, le saut de permission dans la session.
3. Couche de résultat: Le compte prend le relais et se termine en espèces. Plusieurs facteurs, grands transferts, examen manuel, interception inhabituelle des transactions, ces anciennes méthodes sont plus précieuses à l'ère de l'IA parce qu'elles sont le résultat, peu importe comment vous entrez.

Il y en a une autre pour ceux qui utilisent l'animent AI.

Il a fallu beaucoup de temps pour dire, "Comment pouvez-vous vous protéger des gens qui vous frappent avec al?" Mais c'était l'autre moitié :Votre propre déploiement d'agent est aussi un front.

Sur les cinq capacités recommandées dans le rapport, deux sont spécifiques à cela - savoir quels sont les agents dans votre environnement, ce qu'ils peuvent accéder, et ce qui peut être coupé du contrôle en cours d'exécution.

Traducteur: Si vous dirigez un groupe d'agents dans l'entreprise qui ont accès au système,Le risque d'injection rapide et le contexte du rapport sont les mêmes.Je ne sais pas. La différence, c'est que cette fois, c'était votre angoisse, pas votre adversaire.

X. FINAL

Je ne veux pas écrire "AI rend l'attaque effrayante", c'est trop bon marché.

Ce n'est pas qu'un modèle, mais...Achèvement du projetPartage des cartes des connaissances, synchronisation différentielle, rejet de l'OPEC cognitive, division des rôles, mécanismes d'arbitrage. Aucun de ceux-là n'est venu avec l'IA, tous sur l'étagère, et l'IA a juste mis tout le travail dans chaque cellule.

En d'autres termes, le gang gagne.Faire de l'IA une composante programmablePas comme une piscine de vœux.

Quelle est l'approche d'IA pour la plupart des entreprises? Achetez une interface, prenez un robot passager, écrivez un journal hebdomadaire. Cette lacune ne concerne pas la capacité de modélisation, mais la capacité d'ingénierie.

Les rivaux ne sont pas "AI", ils sont ceux qui mettent l'IA dans le processus, et ils écrivent le fond de celui-ci.

Le texte original du rapport est disponible sur le site web de Straiker sous le titre Inside CARLIY0S: How CyberCartel utilisé Multipliple AI Models to Attack 400+ Latin American Banks and Financial Institutions. Pour lire le texte intégral, un formulaire doit être rempli, mais le blog a écrit tous les détails techniques.

Enfin, le rapport IP du serveur central (157 [...] 180 [...] 98 [...] 220, port 801) est accessible au public et a été traité defang. Ne le laissez pas aller -- c'est la preuve de quelqu'un d'autre, pas là où vous expérimentez.