كشفت شركة Straiker في تقرير نشرته بتاريخ 21 أكتوبر 2026 عن وصولها إلى بيئة عمل تابعة لمجموعة قرصنة إلكترونية. وربطت هذه المجموعة نماذج الذكاء الاصطناعي Claude من شركة Anthropic و Grok من شركة xAI و Kimi من شركة Moonshot AI ضمن منظومة تنسيق تعرف باسم CARLIY0S، بهدف استهداف أكثر من 400 جهة مالية في أمريكا اللاتينية. وتتبع شركة Straiker هذه المجموعة تحت اسم AiPT-67، وتربط مشغليها بمجموعة CyberCartel التي تخضع عملياتها للتتبع منذ عام 2012، وتعمل تحت غطاء مؤسسة Hexagon Security Labs Mexico.
ووصل وكلاء Straiker إلى نصوص التنسيق البرمجية، وإعدادات النماذج، وملفات القواعد، وقاعدة المعرفة المشتركة، بالإضافة إلى لوحة تتضمن الأسرار التقنية المجمعة. وأجرى الباحثون في 24 سبتمبر 2026 فحصاً دقيقاً لنسخة من قاعدة بيانات الاعتماد التي تطلق عليها المجموعة اسم FinancialSoft.
ووزعت المنظومة المهام بين النماذج بآلية محددة، حيث تولى نموذج Claude مهام تقييم خيارات الهجوم ومناقشة الأهداف. وتضمنت المنظومة دوراً تحكيمياً لاتخاذ القرار، وقائداً يعتمد على نموذج Claude داخل بيئة Cursor البرمجية، إلى جانب خمسة وكلاء Grok لجمع الأسرار في قاعدة البيانات، ونماذج Kimi ثانوية. وفي حال رفض هذه النماذج الثانوية تنفيذ الطلبات الهجومية، تعتمد المنظومة على ملف يحتوي شفرات برمجية جاهزة محلياً. وأشارت Straiker إلى أن تقرير شركة Anthropic الصادر في سبتمبر 2026 قد وثق مسبقاً وجود أطر هجوم وكيلية متاحة للعموم، على غرار PentAGI.
ونفذت المجموعة هجماتها ضد أكثر من 400 جهة مالية على مدار عدة أشهر، شملت بنوكاً ومزودي خدمات الدفع وبوابات الدفع الإلكتروني، دون الكشف عن أسماء الجهات المتضررة. ويستند الرقم 400 إلى وصف حملة المجموعة ذاتها، في حين لم توضح Straiker العدد الدقيق للجهات التي جرى اختراقها فعلياً أو حجم بيانات الاعتماد التي تم استغلالها.
وضمت نسخة قاعدة FinancialSoft نحو 4,493 سجلاً، شملت 2,911 عنوان بريد إلكتروني، و903 أرقام حسابات مصرفية قياسية من نوع CLABE، و67 كلمة مرور نصية، و391 مفتاح API، و20 مفتاح توقيع JWT، وأكثر من 270 تقرير اختبار اختراق، و51 سجل دخول إلى البوابات، و43 سلسلة اتصال بقواعد البيانات. كما تضمنت القاعدة 43 بيان اعتماد خاصاً بضحية واحدة تعمل في قطاع التقنية المالية، تشمل 11 مفتاح API و32 مفتاحاً تشفيرياً. واحتوت أيضاً على 19 بيان اعتماد لخدمة Wasabi S3، و15 لخدمة Mailgun، و20 لخدمة Keycloak، وأربع شهادات رقمية، وستة أبواب خلفية، وأكثر من 200 ثغرة أمنية، من ضمنها ثغرات يوم صفر (Zero-Day).
ورجحت Straiker إمكانية استغلال المواد المكشوفة في إساءة استخدام نظام SPEI الخاص بالتحويلات بين البنوك في المكسيك، وهو ما يتوافق مع نمط المعاملات المرصودة خلال الحملة. وحجبت الشركة أدلة الاستغلال والمفاتيح الفعالة في تقريرها المنشور.
وشاركت Straiker مؤشرات الاختراق مع مزودي النماذج المتأثرة قبل نشر التقرير. وأسفر ذلك عن إقدام شركة Anthropic على إلغاء بيان الاعتماد المخترق المستخدم للوصول إلى نموذج Claude، بينما أُخطرت شركة xAI بالواقعة وباشرت تحقيقاتها في النشاط المرتبط بوكلاء Grok الخمسة.
