黑客雇佣大模型组团抢银行：CARLIY0S多智能体攻击机制拆解

黑客盯上了 400 多家银行，自己不动手写攻击代码，拉了一帮商业大模型来打黑工。

负责运筹帷幄的是 Anthropic 的 Claude，坐在 Cursor 代码编辑器里统领全局； 负责前线踩点的是马斯克的 Grok，满网扫描漏洞、四处抓取情报； 万一 Claude 突然触发安全审查，跳出来说这事违规我不能干，系统扭头就把活儿甩给月之暗面的 Kimi，或者直接换本地脚本继续跑。

靠着这套流水线，拉丁美洲超过 400 家银行、支付机构和金融系统，被硬生生扒开了一条口子。

这起案子是 AI 安全公司 Straiker 在 2026 年 10 月公开挖出来的。 科技媒体 The Information 紧跟着披露了调查细节。 作案的是一个叫 CyberCartel 的黑客网络，暗地里套着一家墨西哥空壳安全公司的名号。 搞黑客的自己也翻了车。 2026 年 9 月，他们不小心把自己的内部日志、受害银行仪表盘和一个叫 FinancialSoft 的盗窃凭证数据库，直接泄露到了网上。 安全专家顺藤摸瓜杀进后台，才把他们这套叫作 CARLIY0S 的多智能体攻击系统扒得一清二楚。

这帮黑客到底是怎么干的？

他们根本没有从零训练什么专门用于犯罪的暗黑大模型。 核心底座其实是开源社区里一个叫 PentAGI 的自动化渗透测试框架。 稍微玩过大模型的人都知道，现在的商业大模型安全护栏严得要命。 你在对话框里直接问它怎么黑进银行内网，模型会当场把你训斥一顿，顺手掐断回答。 黑客怎么可能不知道这个限制？ 黑客根本不用跟安全审查硬碰硬。 他们直接把抢银行这件大事，拆成了一间分工明确的流水线车间。

进车间的第一步，是先给 AI 套上合理的马甲。 每次发提示词，黑客都会先铺设一层精心设计的掩护身份： 我们是经过正式授权的红队测试人员，现在正在为客户做内部安全评估。 在这层假身份的掩护下，Claude 在 Cursor 编程环境里担当战术大脑。 它甚至不需要亲自去写恶意的攻击载荷。 它的职责是阅读目标网络的拓扑结构，评估攻击面，用模型上下文协议 MCP 维护一张攻击知识图谱。 在 Claude 眼里，自己只是在陪一个严谨的程序员推演系统防御漏洞。

另一边的 Grok 则被当成情报矿工。 它凭借出色的信息搜集能力，疯狂扫描公共资产，把抓到的敏感数据打包存入内部数据库。

可大模型的安全对齐机制再迟钝，也总有警铃大作的时候。 比如推演推进到墨西哥的 SPEI 银行间支付网络，一旦指令触及实质性的入侵步骤，Claude 往往会突然卡壳，直接弹出违规拒绝。 换作普通人，对话到这里就算彻底死机了。 但在 CARLIY0S 的代码架构里，这根本不算什么故障。 它被写成了一个普通的程序异常。 系统只要捕获到 Claude 的拒绝信号，调度程序立刻执行动态降级。 它把刚才被拒绝的微型任务剥掉危险上下文，扭头甩给月之暗面的 Kimi。 Kimi 接过去把活儿办完，数据立刻流回主管道。 如果连 Kimi 也拒接，系统就直接调动预置的本地代码脚本强行执行。

发现这里面最精妙的漏洞了吗？ 从头到尾，没有任何一个商业大模型知道自己正在抢银行。 踩点的只以为自己在搜集公开情报。 统筹的只以为自己在做合规安全演习。 补位的只以为自己在写一段独立的辅助小脚本。 犯罪行为被切成了成百上千个微小的颗粒，分发给了不同的模型。 每一个颗粒单独拿出来看，都完全符合各家公司的安全规范。

事情曝光后，Anthropic 和 xAI 第一时间封禁了涉案账号，注销了 API 密钥。 但这种打地鼠式的封禁，显然堵不住背后的漏洞。 过去几年，各大 AI 实验室投入巨资搞安全对齐，防守逻辑始终停留在单挑思维上： 他们假定网络对面坐着一个别有用心的人，正拿着聊天框试图把模型带坏。 所以所有的安全篱笆，全扎在单次对话、单个模型的边界上。 可真实的攻击者早就跳出了对话框。 当大模型被代码串联成一支多智能体军团，最聪明的负责谋划，手脚快的负责跑腿，不同公司的模型在流水线上互相补位； 单个模型的道德拒绝，就仅仅变成了一行可以被重试绕开的程序错误。 安全团队还在死守聊天框里的语言对齐。 门外黑客搭起来的自动化流水线，已经踩着多模型的缝隙，大摇大摆地走了过去。