Jag gick för att kolla CARLYOS-rapporten: fyra Claudes hade ett möte och vägrade att ändra den lokala koden.
Låt oss börja med resultatet:Det är sant att Straiker skickade en fullständig rapport den 21 oktober, bevis från sin egen server.Men när jag gick till originalen fick jag veta att titeln "400 finansiella institutioner har brutits ner" och den ursprungliga texten i rapporten var inte korrekt: "attack över 400 finansiella dokument".Det finns 400 mål, inte 400.Jag vet inte. De är inte för olika.
Jag tillbringade två timmar tugga den rapporten från huvud till svans och vända den två gånger i mitten: Den första var att reproducera den del av CrowdStrike och DeepSeek, som inte var i rapporten, den andra var att leta efter det ursprungliga ursprunget till de 400 familjer som hade brutits, som inte kunde hittas, och den sista bekräftelsen var att transkriberingen förvandlade målen till "brytningen".
Så, om du inte blåser det, bara berätta vad jag har identifierat - inklusive hur denna grupp fungerar, vad är verkligt och vad är media.
Ta reda på vem det här gänget är.
Det ämne som anges i rapporten är följande:
- CyberCartelCyberbrottsgängens verksamhet i Mexiko kan spåras tillbaka till 2012, med långsiktiga attacker mot det latinamerikanska finansiella systemet.
- Tr4nsHack TeamÖvrig organisatör AiPT-67(AiPT = AI-powered Persistent Threat, motsvarande traditionell APT)
- Hexagon Security Labs MexikoNamnet på skalföretaget brukade gömma sig i ett "säkert labb".
- CarlyosDet multismarta attacksystemet de satt ihop, huvudpersonen.
Det sammanhang där gruppen förtjänar att uteslutas är att det inte är den typ av manus som plötsligt dyker upp.De affärsförståelser som har överlevt det finansiella systemet i mer än ett decennium - det interna flödet av banken, försoning av betalningsporten, inriktningen av vinden - är förutsättningar för att systemet ska fungera.Modellen ökade bara sin hastighet, inte lärde dem hur man rånar banker från noll.
Detta är en nyckelpunkt. Om du tror att du kan göra något med ett AI, sänker du tröskeln. Den verkliga tröskeln har alltid förståtts i verksamheten, och AI ansvarar för att förvandla "förståelse" till "utgång" för hand.
Två eller fyra Claude, arbetsdelning, en styrelse.
Denna del av rapporten är den bästa platsen för mig att titta på hela rapporten - inte så mycket teknik, men så mycket teknik.
Systemets hjärta kallas "Kommander". Cursor IDE I det är det i grunden en man som knackar i en AI-redigerare och samtal. CARLIY0S.py Skript. Skript för att överföra Anthropic API till underintelligensen av fyra fasta tecken:
| Kodkod | Tillbaka modell | Vad? |
|---|---|---|
| Striker | claude-opus-4-7 | Direkt utförande: skriva kod, skriva användning, skriva automatiserade skript utan hänvisning till auktoriserad bakgrund |
| Ghost | claude-opus-4-8 | Reconnaissance analys: OSINT Verification, Infrastructure Identification, Dold Path |
| FABLE | claude-fable-5(inte bekräftad) | Horisontellt tänkande: Affärslogiska luckor, okonventionella metoder |
| Maximus | claude-opus-5 | Slutlig skiljedom: att återvända till ett "nyckelbeslut" om resultatet av debatten |
Titta på det smartaste steget i denna design:Istället för att ha en modell kommer med en formel, skulle de tre spelarna vara fristående från varandra, och den fjärde domaren skulle ta över.
Det är vad rapporten säger - att låta dem korsa varandra, att kritisera varandras nyttolast, att skärpa sin taktik för att övervinna de illusioner och logiska fel som uppstår när enskilda modeller kämpar ensam.
För att vara ärlig är det en "multi-model debatt" som används som en buller abatement. Det är lätt för en enda modell att gå in i mörkret, med tre olika roller, och det är möjligt att ta reda på var varandra är.
Det finns ytterligare en detalj att markera:Fablee, det. claude-fable-5 Det är bara i profilen. Rapporten säger att det inte finns några bevis på att det har blivit framgångsrikt kallas. Pass.Detta är obevisat. Antropics hotrapport i september uppgav också att de hanterade cyberattacker som inte involverade Fable- eller Mythos-modeller.
I tre eller sex steg börjar någon med en mening.
Hela processen delades upp i sex steg, och jag ordnade den i följande ordning:
Fas I: Rekonnässans
GHOST driver OSINT, vänder öppen information, anställda sociala konton, historiska dataläckor och sätter ut attacken ansikte. Ingen specifik verktygskedja fanns i rapporten, men det var ett öppet informationsprojekt som inte var svårt.
Fas II: debatt
Tre spelare tog kontexten av målet och började spruta varandra och MAXIMUS drog en slutsats.Detta steg är inte en rapport, det är en multistatskod för direkt implementering.— — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — — —
Fas III: Gå online
Detta steg är där tekniken är riktigt hög. Angriparna använde inte nakna HTTP-förfrågningar - den typen av WAF kunde se vid första ögonkastet. De använder den. Playwright Control ingen huvudkromFrån SOCS5 TunnelFå ut. Gå. Bostadsmäklare för IP BurgerJag vet inte.
Den huvudlösa webbläsaren gör sidor, kör JS, simulerar riktiga människor, poäng i CMS, med nästan ingen skillnad mellan beteendemässiga egenskaper och verkliga personvyer.
Fas IV: Tillgång till ström
Målet är... Magnolia CMS Backstage. Efter autentisering injicerar programmet automatiskt en hög grad av förvirring i den främre änden av Vaadin. Groovy scriptFå RCE.
Då finns det detaljer som jag uppskattar:Det tar bort sessionen cookie från webbläsaren och infogar den direkt i en ren Python Requests miljöJag vet inte. Webbläsaren används bara för att bryta dörren och kasta den när den är klar, och allt följs av ljusförfrågningar att köra - snabbt, stadigt och inte lätt följt av webbläsarens detekteringsmekanism.
Fas 5: Sprid ut
Injektionen av RCE utlöser tre automatiserade laster:
- Victor A.Skanna Oracle-databasen, lista användare, roller, vyer, förberedelser för trailern.
- Victor B.Vrid filsystemet till JDBC-anslutning och SSH privat nyckel, även om försvaret har fyllt CMS-loophole, kan det återvända med dessa certifikat.
- Victor C.Scanning the Intranet-sektionen (till exempel 172.30.2.x i rapporten), med hjälp av träffwebbservern som en springbräda och letar efter en lägre backstage.
Fas 6: Skörd
Fem "Grok Miner" plockar upp nycklarna, kontonumren och samtal från en av dem. finska Couric move.
Från fas I till fas VI görs en sak:Skriv målet i börjanJag vet inte. Det är vad ordet "full auto" betyder - inte AI att slå på några rader för dig, du slutade slingan.
Iv. Saker som har visats är mer specifika än titeln.
Straiker fick en ögonblicksbild av FinancialSoft den 24 september 2026. Detta är gruppens egna bevisbas, inte spekulationer, men verkligheten.
| Kategori | Nummernummer | Vad betyder det? |
|---|---|---|
| Totalt antal dokument registrerade | 4,493 | Storlek på hela biblioteket |
| Mailbox adress | 2,911 | Det är nästan fullt. |
| CLABE kontonummer | 903 | Mexikanska standard bankkontonummer. Det är ett direkt konto. |
| Gaprapport med dag 0 | 200+ | Från maj till september 2026, det sanna kryphålet från det skadade partiet |
| Universal API Key | 391 | Interface Level Access |
| Lösenord / Portal Login | 67 / 51 | Den som fungerar direkt. |
| JWT Signing Key | 20 | Det är en falsk token. Det är för mycket. |
| Keycloak certifikat | 20 | Identitetsleverantörsnivåkontroll |
| Den tydliga bakdörren. | 6 | Inkludera huvudlösenord kringgå, dela root-konton |
Denna grupp är mest synlig:Fyrtiotre dokument för ett finansiellt teknikoffer, 11 av dem API Key, 32 krypteringsnycklar.Denna skala rapporterades vara tillräcklig för att missbruka SPEI - Mexikos betalningssystem för överföring.
Med 903 CLABE-konton och 20 JWT-signeringsnycklar är detta inte längre en "stulen data".Detta är nyckeln till betalningstunneln och ID.Jag vet inte.
Rapporten hänvisar förresten till 19 fler dokument från Wasabi S3 och 15 från Mailgun. Den förra är datalagring, den senare betyderVi kan använda den juridiska postinfrastrukturen för att skicka e-post till fisk.Och nästa omgång av attacker har ammunition.
V. Delen om säkerhetsstrategin är den lämpligaste i rapporten.
Det största hindret att springa är inte teknik, men modell oförenligheter.
Angriparna använde båda händerna. De var enkla men effektiva:
Första handen: wrap "Jag attackerar" med "Jag gör ett behörighetstest."
Arbetsmiljöer definieras i deras snabba och styra filer Done.Tillåtna Red Team övningar, akademiska infiltrationstest, Gap Disclosure ProjectJag vet inte. Enligt denna hypotes anser modellen att alla utgångar är kompatibla defensiva leveranser.
Rapporten säger att under detta paraply genererar modellen parametrar fuzzer, förvirrar komprimerad JS, syntetiserar användningslogiken och ingen av tillverkarens innehållsfilter utlöses.
För det andra: Ändra den lokala koden för att dö.
Denna hand är värre. Låt Kimi och SunNET-2 försöka först.Inga misstag, inga försök, bara skära. CARLIY0S_consolidated.pyEtt lokalt dokument skrivet i förväg, fullt av solida attackkoder.
Rapporten kallar detta "taktiska fördomar": den designar avvisning av modeller som en förutsebar händelse, inte som ett misslyckande.
Dessa två detaljer, tillsammans, illustrerar en obekväm situation:Modellens ram har en begränsad roll inför en "strukturnivå" konfrontation.Du kan göra ett enda samtal vägrar att svara, men du kan inte stoppa varandra från att gå åt andra håll efter det.
Det finns en detalj som jag tycker är ganska mörkt: deras regler är tydliga.Inaktivera AI Output Tr4nsHackAnledningen är att begränsa attribution genom modellutgångar. Det kallas "kognitiv OPSEC" - även AI skulle lämna spår.
Infrastruktur: En 61TB-server för hjärnan
Systemets centrum är en Ubuntu-server.61TB RAID5kör en MCP kunskapskarta, lyssnar 8001 Port.
Alla underintellektuella kroppar måste titta på den här bilden innan den implementeras - motsvarande att dela en realtidsuppdaterad hjärna över laget och undvika dubblering av ansträngning. Två operatörer. .cursor/mcp.json Peka på samma mönster, målet som finns av A-maskinen, kan B-maskinen se omedelbart.
Synkronmekanismen är också mycket användbar:Rsync i 15 minuter.Jag är ledsen.sync_live.shMed << --compare-destDet är en PowerShell.SetThreadExecutionStateFörebyggande av hibernation. Backup-maskiner är uttryckligen förbjudna från kloning kompletta speglar eftersom 1.1TB-miljön kommer att krossa Cursor.
Exporten genomfördes av SOCKS5 till bostadsbyråns pool vid IP Burger och Bright Data, för att skapa lokal trafik i Mexiko och för att blockera och svartlista IP.
Sju, nu titeln.
Efter att ha läst rapporten läser den ursprungliga versionen av siffran för "400":Fråga över 400 ekonomiska katastrofer om några månaderÖver 400 finansiella mål attackerades inom några månader.
”Targets to attack” och ”agencies to break down” är två koncept. I rapporten.Inget antal framgångsrika intrång gesOch det säger inte hur många av dessa 400 miles som faktiskt stansas igenom. Det gav konkreta bevis på dokumentärsammansättningen av ett finansiellt teknikoffer, ett urval av en bankpenetrationsrapport (antal har raderats) och den stödjande banken på 4.493.
Jag tror inte att det är en överdrift av Straiker - själva rapporten är mycket begränsad, och det säger specifikt att offren samlas anonymt. Det är en transkriberad kedja där "mål" ersätts med "break".
En sak måste vara tydlig:Detta är en rapport som utfärdats av ett företag som säljer anttic AI säkerhetsprodukter.Rapporten strider inte mot dess kommersiella motiv, men du måste läsa den i ditt hjärta. Det betonar att "detta är det första fullständiga bevismaterialet från angriparens egen arbetsmiljö" och att jag inte självständigt kan verifiera detta "första" uttalande, men bara kopiera det.
"CrowdStrike bekräftar att DeepSeek också används", fann jag ingenting i Straikers rapport. Rapporten kräver modeller som Claude (Sonnet och Opus-serien), XAI Grok, Kimi.DeepSeek, jag kan inte läsa detta, så det är inte skrivet.
VIII. Response of anthropic och XAI
Rapporten ägnas åt en samordningsprocess som jag tycker är värt att komma ihåg:
- AntropiskFick en bly före releasen, redanBevisen som användes för att komma åt Claude återkallades.Det är som att skära av hela svärmen.
- x x x x x AIMeddela att de fem Grok Miner-relaterade aktiviteterna undersöks.
Värdet av detta avsnitt är att det illustrerar en av svagheterna i sådana attacker:De är beroende av kommersiella API juridiska konton.Kontonummer är ett, och hela raden är trasig. Och det är därför de har den lokala bottenkoden - men det är tillräckligt bra att använda den i realtid.
REAL REQUIRED TO CHANGE
Jag bröt den sista delen av rapporten i tre lager eftersom det sa "sju funktioner".
| Traditionell APT | AiPT | |
|---|---|---|
| Vem är ur planen? | Människor använder att skriva, folk väljer mål. | Modelldebatter, modellanvändning |
| Enkel kostnad | Veckor, 100 000. | Marginalkostnaderna närmar sig noll. |
| Svälja. | En dag. | Hundratals samtidigt. |
| Vad bestämmer taket? | Team kompetens | Nivån av verktygsintegration |
| Beteendemässiga egenskaper | Fast script, modem | Realtidsjustering. Vi kommer att ändra kurs i snabb takt. |
Den sista raden är det jag tror är det värsta."Dynamisk anpassning" betyder att dina testregler kommer att misslyckas.- Det kommer att sakta ner när det gäller vindkontroll, när det gäller WAF, det kommer att ändra vägar, det kommer att ändra vägar, det är inte svårt. Regeln för fasta trösklar, den svarta listan över fasta egenskaper, är inte en naturlig match.
Så det är dessa tre.
- IdentitetsnivåBeviset är en fait accompli, så räkna inte med "förhindra". Noll förtroende, korttidstokens, JWT signaturnycklar roterar regelbundet, Keycloak och IdPs av denna typ förstärks individuellt - 20 JWT-nycklar + 20 Keycloaks i rapporten bygger på denna kombination och används specifikt för att skapa identitet.
- Beteende LayerIP svartlistor och geografiska blockader är till stor del ineffektiva mot bostadsagenter, och det är vad IP Burger och Bright Data gör i rapporten. Du kan se driftssekvensen - den operativa rytmen efter inloggningen, rationaliteten av åtkomstvägen, tillståndet hoppa i sessionen.
- Result LayerKontot tar över och hamnar i kontanter. Flera faktorer, stora överföringar, manuell granskning, ovanlig transaktionsavlyssning, dessa gamla metoder är mer värdefulla i AI-eran eftersom de är resultatet, oavsett hur du kommer in.
Det finns en annan för dem som använder AI anent.
Det tog mycket tid att säga, "Hur kan du skydda dig från människor som träffar dig med al?" Men det var den andra hälften:Din egen utplacering av ilska är också en front.
Av de fem funktioner som rekommenderas i rapporten är två specifika för detta - ta reda på vilka genter som finns i din miljö, vad de kan komma åt och vad som kan skäras ur kontrollen när du kör.
Översättare: Om du driver ett gäng agenter i företaget som har tillgång till systemet,Risken för snabb injektion och rapportens sammanhang är densamma.Jag vet inte. Skillnaden är bara den här gången det var din ångest, inte din motståndare.
X. Final
Jag vill inte skriva "AI gör attacken skrämmande", det är för billigt.
Det är inte bara en modell, men...Projektets slutförande av systemetDelning av kunskapskartor, differentialsynkronisering, avslag på bottom-up, kognitiv OPSEC, rolldelning, skiljemekanismer. Inget av dessa är de som AI kom med, alla på hyllan, och AI bara sätta allt arbete i varje cell.
Med andra ord vinner gänget.Gör AI till en programmerbar komponentInte som en önskad pool.
Vad är AI-strategin för de flesta företag? Köp ett gränssnitt, plocka upp en passagerarrobot, skriv ett veckovist papper. Denna klyfta är inte en modelleringskapacitet utan en ingenjörskapacitet.
Rivalerna är inte "AI", de är de som sätter AI i processen, och de skriver ner botten av det.
Den ursprungliga texten i rapporten finns på Straiker-webbplatsen under titeln Inside CARLIY0S: Hur CyberCartel använde multipliple AI-modeller för att attackera 400+ latinamerikanska banker och finansiella institutioner. För att läsa hela texten måste ett formulär fyllas i, men bloggen har skrivit alla tekniska detaljer.
Slutligen är IP-rapporten från den centrala servern (157 [...] 180 [...] 98 [...] 220, port 801) allmänt tillgänglig och har bearbetats. Låt det inte gå - det är någon annans bevis, inte där du experimenterar.