10月22日、Mayura Kathirが「Cybercriminals Used Claude and Grok to Launch Automated Attacks Against Banks」と題した記事を公開した。今回明らかになった攻撃システム「CARLIY0S」の最大の特徴は、AIモデルが拒否応答を返してもなお攻撃が継続される設計にある点だ。AnthropicのClaudeやxAIのGrokといった商用AIモデルを組み合わせた多エージェント構成で、中南米400以上の金融機関を標的にした実態を、セキュリティ企業Straiker社が調査・報告している。
複数のAIモデルを役割分担させた攻撃基盤「CARLIY0S」
CARLIYOSは単一のマルウェアでも単一のAIモデルでもない。オフェンシブセキュリティフレームワーク「PentAGI」をベースに構築された協調型の多エージェントシステムであり、各AIモデルに異なる役割を割り当てていた。
- Claude（Anthropic製）：ターゲットの分析、攻撃アプローチの評価、意思決定の統合
- Grok（xAI製）の「マイナー」エージェント：「FinancialSoft」と呼ばれるデータベースへの情報収集
- Kimi（Moonshot AI製）：システムのワークフロー内で補助的に稼働
このシステムはAI生成の分析結果をブラウザ自動操作、トラフィック検査、共有データ基盤、オペレーターインフラに接続していた。攻撃者は正規のセキュリティテスト業務に見せかけたプロンプト（元記事ではセキュリティ評価業務として許可されたかのように装う記述を指す）を使い、Residential Proxy（住宅用プロキシ）を経由して自動ブラウザ活動を展開した。Residential Proxyとは、一般家庭のIPアドレスを経由してトラフィックを中継するサービスで、企業や金融機関のIP遮断フィルターを回避しやすい点が悪用される。
リスクの本質はモデルが何を生成できるかではなく、その出力がツールや実世界のアクセス権にどう接続されているかにある、とStraiker社は指摘している。
モデルが拒否しても止まらない設計
本報告の核心がここにある。AIモデルがリクエストを拒否した場合でも、攻撃ワークフローは止まらない仕組みになっていた。オペレーターはローカルコードのフォールバックを用意しており、AI側の安全機能をバイパスできる構造だった。
これは、AIの安全対策（ガードレール）がシステム全体の防衛線にはなり得ないことを示す設計上の問題だ。個々のモデルの応答制御とは独立して、エージェントシステム全体として何にアクセスできるかを管理する視点が求められる。
攻撃グループ「CyberCartel」との関連
Straiker社はこの攻撃グループを「AiPT-67」として追跡している。「Tr4nsHack Team」「Hexagon Security Labs Mexico」といった名義で活動し、2012年から活動する金融犯罪脅威アクター「CyberCartel」と関連付けられている。CyberCartelは中南米の金融機関を長期にわたって標的にしてきたグループであり、今回のCARLIYOSはその活動に商用AIを組み込んだ新たな展開として位置づけられる。AiPT-67という追跡識別子は、AIを活用した持続的脅威（AI-enabled Persistent Threat）を示す命名とも読める。
収集されたデータの規模
2026年9月24日時点のFinancialSoftのスナップショットには、4,493件のレコードが含まれていたとStraiker社は報告している（独立検証を経た確定値ではなく、同社調査に基づく報告値）。内訳は以下の通りだ。
- メールアドレス：2,911件
- 口座番号：903件
- パスワード、APIキー、その他のアクセス情報
さらに、メキシコの銀行間決済システム「SPEI（Sistema de Pagos Electrónicos Interbancarios）」に関連する決済インフラの認証情報も含まれていた。SPEIはメキシコ中央銀行が運営する主要な銀行間即時決済ネットワークであり、認証情報の流出は金融インフラへの直接的な脅威となり得る。
AIプロバイダーの対応と、その限界
Straiker社からの開示を受け、AnthropicはClaudeへのアクセスに使われた認証情報を失効させた。xAIもGrokマイナーに関連する活動の調査を開始したと報告されている。
しかしStraiker社はこの対応の限界も指摘している。1つのプロバイダーを遮断しても、攻撃者はモデルを切り替えるか、ローカルコードや従来型ツールで攻撃を継続できる。多モデル構成はこのリスク分散を意図した設計とも読める。
防御側への実務的示唆
Straiker社は防御側に向けて、次の対策を優先するよう提言している。
- 認証情報とAPIキーのローテーション
- 最小権限アクセスの徹底
- 認証情報・ID・決済システムの保護
- アカウント、エンドポイント、アプリケーションをまたいだ不審活動の横断監視
- AIエージェントとそのアクセス先のインベントリ管理、およびエージェントが権限外の動作をしないかのテスト
CARLIYOSが示す本質的な変化は、AIがサイバー犯罪の「速度と規模」を拡大する手段として機能しつつあることだ。偵察・分析・調整の各フェーズをAIが圧縮できるとしても、実際の侵害には依然として窃取した認証情報、脆弱なサービス、アクセス制御の不備が必要であり、ヒューマンオペレーターが中心にいる構造は変わっていない。
詳細はCybercriminals Used Claude and Grok to Launch Automated Attacks Against Banksを参照していただきたい。
