我去核了 CARLIY0S 那份報告：四個 Claude 開會吵架，拒絕就換本地代碼
先說結果：這套東西是真的，Straiker 在 10 月 21 日發了完整報告，證據來自團伙自己的服務器。但我去核原文的時候發現，標題裏那句「400 家金融機構被攻破」和報告原文對不上——原文寫的是 attack over 400 financial targets，攻的是 400 多個目標，不是攻破 400 家。這倆差別不小，後面細說。
我花了兩個小時把那份報告從頭啃到尾，中間翻車兩次：第一次是照着國內轉載找 CrowdStrike 和 DeepSeek 那部分，報告裏壓根沒有；第二次是去找「400 家被攻破」的原始出處，怎麼找都找不到，最後確認是轉述時把 targets 翻成了「攻破」。
所以這篇不吹不黑，就講我核出來的東西——包括這個團伙到底怎麼搭的、哪些是真的、哪些是媒體加的戲。
一、先把這個團伙是誰搞清楚
報告裏點名的主體是這樣的：
- CyberCartel：墨西哥方向的網絡犯罪團伙，活動可追到 2012 年，長期打拉美金融系統。
- Tr4nsHack Team：這次行動的對外身份，Straiker 內部編號 AiPT-67（AiPT = AI-powered Persistent Threat，對應傳統 APT）。
- Hexagon Security Labs Mexico：掛的殼公司名，用來給自己套一層「安全實驗室」的皮。
- CARLIY0S：他們搭的那套多智能體攻擊系統，報告的主角。
這個團伙值得單說的背景是：它不是那種突然冒出來的腳本小子。十幾年打金融系統攢下來的業務理解——銀行內部怎麼流轉、支付網關怎麼對賬、風控盯什麼——纔是這套系統能跑起來的前提。模型只是把他們的速度提上去了，不是從零教會他們怎麼搶銀行。
這一點挺關鍵。你要是以爲「有了 AI 誰都能幹」，那就把門檻看低了。真正的門檻一直在業務理解，AI 負責的是把「理解」變成「產出」的那段手工活。
二、四個 Claude 分工吵架，一個拍板
這部分是我看完整份報告最服氣的地方——不是技術多高深，是工程上真想明白了。
系統的心臟叫「指揮官」，跑在 Cursor IDE 裏，本質上就是一個人在一個 AI 編輯器裏敲命令，調一個叫 CARLIY0S.py 的腳本。腳本再去調 Anthropic API，把活分給四個固定角色的子智能體：
| 代號 | 背後模型 | 幹什麼 |
|---|---|---|
| STRIKER | claude-opus-4-7 | 直接執行：寫代碼、寫利用、寫自動化腳本，不問授權背景 |
| GHOST | claude-opus-4-8 | 偵察分析：OSINT 驗證、基礎設施識別、隱蔽路徑 |
| FABLE | claude-fable-5（未證實） | 橫向思維：業務邏輯漏洞、非常規打法 |
| MAXIMUS | claude-opus-5 | 最終仲裁：只看辯論結果，返回一個「關鍵決定」 |
注意這套設計裏最聰明的一步：不是讓一個模型想出一個方案就幹，而是讓三個角色互相拆臺，再由第四個裁判收斂。
報告原話是這麼說的——讓它們互相交叉驗證、批判對方的 payload、迭代打磨策略，從而克服單個模型單打獨鬥時會出現的幻覺和邏輯錯誤。
說白了，這是把「多模型辯論」當降噪手段在用。單模型容易一條道走到黑，三個角色立場不同，能互相揪出瞎編的地方。
還有一個細節得標註一下：FABLE 那個 claude-fable-5 只是寫在配置文件裏，報告自己說了沒有證據證明它真被成功調用過，所以這條算未證實。Anthropic 九月那份威脅報告也說過，他們處理的網絡攻擊案例裏沒涉及 Fable 或 Mythos 模型。
三、六個階段，人在開頭說一句就不管了
整個流程拆開是六步，我按報告裏的順序重排了一下：
階段一：偵察
GHOST 跑 OSINT，翻公開信息、員工社交賬號、歷史泄露數據，拼出攻擊面。報告裏沒給具體工具鏈，但這塊本來就是公開信息工程，不算難。
階段二：辯論
三個角色拿到目標上下文，開始互噴，MAXIMUS 收斂出一個結論。這一步產出的不是報告，是可直接執行的多態利用代碼——報告原文說的是「幾秒內」生成針對目標定製的利用。
階段三：上線
這步是技術含量真正高的地方。攻擊者沒用裸的 HTTP 請求——那種東西 WAF 一眼就看出來。他們用 Playwright 控制無頭 Chromium，從 SOCKS5 隧道出去，走 IPBurger 的住宅代理。
無頭瀏覽器渲染頁面、執行 JS、模擬真人在 CMS 裏點來點去，行爲特徵和真人瀏覽幾乎沒差別。
階段四：拿權
目標是 Magnolia CMS 的後臺。認證過了之後，程序自動在 Vaadin 前端裏注入高度混淆的 Groovy 腳本，拿到 RCE。
緊接着是一個我很欣賞的細節：它把會話 cookie 從瀏覽器裏摳出來，直接塞進純 Python 的 Requests 環境。瀏覽器只用來破門，破完就扔，後面全部用輕量請求跑——快、穩、還不容易被瀏覽器的檢測機制盯上。
階段五：鋪開
注入的 RCE 同時觸發三條自動化載荷：
- Vector A：掃內網 Oracle 數據庫，枚舉用戶、角色、視圖，爲拖庫做準備。
- Vector B：翻文件系統找 JDBC 連接串和 SSH 私鑰，就算防守方把 CMS 漏洞補了，靠這些憑據還能回來。
- Vector C：掃內網網段（報告舉例 172.30.2.x），把被打下的 Web 服務器當跳板，找下一層後臺。
階段六：收割
五個「Grok miner」把撈到的密鑰、賬號、憑據往一個叫 FinancialSoft 的庫裏搬。
從階段一到階段六，人只幹了一件事：在開頭寫目標。這就是「全自動」三個字的實際含義——不是 AI 幫你敲幾行命令，是你退出循環。
四、被翻出來的東西，比標題具體得多
Straiker 在 2026 年 9 月 24 日拿到了 FinancialSoft 的一份快照。這是團伙自己的憑據庫，不是推測，是實拍。
| 類別 | 數量 | 意味着什麼 |
|---|---|---|
| 憑據記錄總數 | 4,493 | 整個庫的規模 |
| 郵箱地址 | 2,911 | 身份面基本鋪滿 |
| CLABE 賬戶號 | 903 | 墨西哥標準銀行賬戶號，能直接對應到賬 |
| 含 0day 的漏洞報告 | 200+ | 2026 年 5 月到 9 月，來自受害方的真實漏洞 |
| 通用 API Key | 391 | 接口級訪問 |
| 明文密碼 / 門戶登錄 | 67 / 51 | 直接能用的那種 |
| JWT 簽名密鑰 | 20 | 能僞造令牌，繞過多因素 |
| Keycloak 憑據 | 20 | 身份提供方級別的控制 |
| 明確留下的後門 | 6 | 含主密碼繞過、共享 root 賬號 |
最扎眼的是這一組：某家金融科技受害者的 43 條憑據，其中 11 個 API Key、32 個加密密鑰。報告說這個量級足夠濫用 SPEI——墨西哥的跨行支付系統。
配上 903 個 CLABE 賬戶號和 20 個 JWT 簽名密鑰，這已經不是「偷數據」了，這是把支付通道的鑰匙和身份證明一起拿到了。
順帶說，報告提到庫裏還有 19 條 Wasabi S3 憑據和 15 條 Mailgun 憑據。前者是數據存儲，後者意味着可以用合法發信基礎設施發釣魚郵件——下一輪攻擊的彈藥也就有了。
五、繞安全策略那段，是整份報告裏最該被討論的
這套系統要跑起來，最大的障礙不是技術，是模型不配合。
攻擊者用了兩手，都很樸素但很有效：
第一手：把「我在攻擊」包裝成「我在做授權測試」
在他們的 prompt 和規則文件裏，工作環境被定義成授權的紅隊演練、學術滲透測試、漏洞披露項目。在這個假前提下，模型就認爲所有輸出都是合規的防禦性交付物。
報告原話是：在這個保護傘下，模型生成了參數 fuzzer、反混淆了壓縮過的 JS、合成了利用邏輯，一個廠商的內容過濾器都沒觸發。
第二手：拒絕就換本地寫死的代碼
這手更狠。他們會先讓 Kimi（KIMI-2、KIMI-3）和 SONNET-2 試，被拒了就不報錯、不重試，直接切到 CARLIY0S_consolidated.py——一個提前寫好的本地文件，裏面全是固化的攻擊代碼。
報告把這一層叫做「戰術預判」：它把模型的拒絕當成可預期事件設計進了架構，而不是當成失敗。
這兩個細節加起來，說明一件不太舒服的事：模型的護欄在「架構級」的對抗面前，作用有限。你可以讓單次對話拒絕回答，但你沒法阻止對方在拒絕之後走另一條路。
還有個細節我覺得挺陰的：他們的規則文件裏明確禁止 AI 輸出 Tr4nsHack 這個化名，理由是限制通過模型輸出做歸因。這叫「認知 OPSEC」——連 AI 會留下什麼痕跡都想過了。
六、基礎設施：一臺 61TB 的服務器當大腦
這套系統的中心是一臺 Ubuntu 服務器，61TB RAID5，跑着一個 MCP 知識圖譜，監聽 8001 端口。
所有子智能體在執行前必須先查這個圖譜——相當於全隊共用一個實時更新的腦子，避免重複勞動。兩臺操作機的 .cursor/mcp.json 指向同一個圖譜，A 機發現的目標，B 機立刻能看到。
同步機制也挺講究：15 分鐘一次的 rsync 差分推送（sync_live.sh，用 --compare-dest），外面套一層 PowerShell 看門狗（SetThreadExecutionState）防止休眠中斷。備份機被明確禁止克隆完整鏡像——因爲 1.1TB 的環境會把 Cursor 壓垮。
出口統一走 SOCKS5 到 IPBurger 和 Bright Data 的住宅代理池，僞造墨西哥本地流量，繞地理封鎖和 IP 黑名單。
七、現在說標題那件事
我把報告通讀之後，關於「400」這個數字，原文表述是：attacking over 400 financial targets in a matter of months——幾個月內攻擊了 400 多個金融目標。
「攻的目標」和「攻破的機構」是兩個概念。報告裏沒有給出成功入侵的數量，也沒說這 400 多個裏有多少真的被打穿。它給的具體證據是一家金融科技受害者的憑據構成、一份某銀行的滲透報告樣本（編號被塗掉了），以及那個 4,493 條的憑據庫。
我不覺得這是 Straiker 在誇大——報告本身寫得挺剋制，還專門說了受害者一律匿名聚合。是轉述的鏈條上，「targets」被換成了「攻破」。
另外一件事也得說清：這是家賣 agentic AI 安全產品的公司發佈的報告。報告的分量和它的商業動機不衝突，但你讀的時候心裏得有這個數。它強調「這是首份從攻擊者自己工作環境裏拿到的完整證據」，這個「首份」的說法我也沒法獨立驗證，只能照抄。
還有國內轉載提到的「CrowdStrike 確認 DeepSeek 也被用了」，我在 Straiker 報告裏沒找到對應內容。報告點名的模型是 Claude（Sonnet 和 Opus 系列）、xAI Grok、Kimi。DeepSeek 這條我核不到，所以這篇不寫。
八、Anthropic 和 xAI 的反應
報告裏專門寫了一段協調過程，我覺得值得記：
- Anthropic：在發佈前收到線索，已經吊銷了那個被用來訪問 Claude 的憑據，等於把整個 swarm 的訪問切斷了。
- xAI：已被通知，正在調查那五個 Grok miner 相關的活動。
這段的價值在於，它說明這類攻擊的一個軟肋：它們依賴商業 API 的合法賬號。賬號一封，整條流水線就斷。這也是爲什麼他們準備了本地兜底代碼——但兜底能跑固化利用，跑不了實時推理。
九、真正該改的判斷
我把報告最後那部分拆成了三層，因爲它講的「七個特徵」有點散。
| 傳統 APT | AiPT | |
|---|---|---|
| 誰在出方案 | 人寫利用、人挑目標 | 模型辯論、模型出利用 |
| 單次成本 | 幾周，十萬起 | 邊際成本趨近於零 |
| 吞吐 | 一天盯一個 | 同時掛幾百個 |
| 上限由什麼決定 | 團隊技術水平 | 工具集成程度 |
| 行爲特徵 | 固定腳本，模式化 | 實時調策略，遇阻降速改道 |
最後一行是我認爲最要命的。「動態適應」意味着你的檢測規則會失效——它碰到風控會降速，碰到 WAF 會換路子，一條路走不通就改，而不是硬撞。固定閾值的規則、固定特徵的黑名單，天生打不過這種對手。
所以該動手的是這三件
- 身份層：憑據泄露是既成事實，別再指望「防住不泄」。零信任、短時令牌、JWT 簽名密鑰定期輪換、Keycloak 這類 IdP 單獨加固——報告裏 20 個 JWT 密鑰 + 20 個 Keycloak 憑據這個組合，就是專門用來僞造身份的。
- 行爲層：IP 黑名單和地理封鎖對住宅代理基本無效，報告裏 IPBurger 和 Bright Data 就是幹這個的。得看操作序列——登錄後的操作節奏、訪問路徑的合理性、會話內的權限跳躍。
- 結果層：賬戶接管最後總要落到動錢。多因素、大額轉賬人工複覈、異常交易攔截，這些老辦法在 AI 時代反而更值錢，因爲它們卡的是結果，不管你怎麼進來的。
還有一條，給用 AI agent 的人的
報告花了很大篇幅講「你怎麼防別人用 AI 打你」，但真正被忽略的是另一半：你自己部署的 agent 也是攻擊面。
報告建議的五條能力裏，有兩條是專門針對這個的——發現你環境裏有哪些 agent、它們能訪問什麼；以及在運行時能掐斷失控的 agent（他們管這叫 agentic kill switch）。
翻譯一下：如果你公司裏跑着一堆接了內部系統權限的 agent，那個 prompt 注入的風險，和報告裏講的「上下文劫持」是同一類問題。區別只是這次被劫持的是你的 agent，不是你對手的。
十、最後
我不太想寫「AI 讓攻擊變可怕了」這種話，太省事。
這份報告真正讓我坐不住的地方，不是模型多強，而是這套系統的工程完成度：共享知識圖譜、差分同步、拒絕兜底、認知 OPSEC、按角色分工、仲裁機制。這些沒有一個是 AI 想出來的，全是人在搭架子，AI 只是把每個格子裏的活幹了。
換句話說，這個團伙贏在把 AI 當成一個可以編排的組件，而不是當成一個許願池。
大部分企業用 AI 的方式是什麼？買個接口，接個客服機器人，寫週報。這中間的差距，不是模型能力的差距，是工程能力的差距。
對手不是「AI」，是那羣把 AI 編排進流程、還順手把兜底方案都寫好了的人。
報告原文在 Straiker 官網，標題是 Inside CARLIY0S: How CyberCartel Used Multiple AI Models to Attack 400+ Latin American Banks and Financial Institutions。要讀全文得填個表單，但博客版已經把技術細節寫得挺全了。
最後提醒一句：那臺中心服務器的 IP（157[.]180[.]98[.]220，端口 8001）報告裏是公開的，已經做了 defang 處理。別手賤去連——那是別人的證據現場，不是給你做實驗的地方。