Criminosos usaram um sistema multiagente chamado CARLIY0S para coordenar ataques contra mais de 400 instituições financeiras e provedores de pagamento na América Latina.
O sistema combinou modelos comerciais de inteligência artificial (IA), como Claude, da Anthropic, Grok, da xAI, e Kimi, da Moonshot AI, com automação e infraestrutura operacional compartilhada.
A Straiker afirma que suas conclusões vieram de artefatos no ambiente de trabalho do grupo, o que oferece uma visão incomum de como a IA foi incorporada a uma operação criminosa.
O relatório descreve uma mudança de invasões manuais e scripts para um sistema orquestrado, criado para ajudar um pequeno grupo a avaliar e perseguir muitos alvos.
O número de mais de 400 refere-se a organizações visadas; ele não comprova que todas tenham sido invadidas.
O CARLIY0S não era um único modelo de IA nem uma amostra de malware. Construído em torno do framework de segurança ofensiva PentAGI, ele atribuía tarefas diferentes a cada modelo.
Agentes do Claude foram configurados para analisar alvos, avaliar possíveis abordagens e sintetizar decisões. Já os “mineradores” alimentados pelo Grok reuniam informações para um banco de dados chamado FinancialSoft, e modelos Kimi apareceram no fluxo de trabalho do sistema.
O relatório diz que os operadores também contavam com um mecanismo local de código como alternativa quando os modelos recusavam pedidos, o que significa que uma recusa não necessariamente interrompia a operação.
A Straiker ressalta que algumas entradas de configuração de modelos não comprovam que esses modelos tenham sido acionados com sucesso.
A investigação descreve uma cadeia de ferramentas mais ampla, que conecta análises geradas por IA a navegadores, inspeção de tráfego, dados compartilhados e infraestrutura dos operadores.
Segundo a Straiker, o grupo usou prompts de IA apresentados como testes de segurança autorizados, atividade automatizada em navegadores e serviços de proxy residencial.
Os objetivos pós-comprometimento relatados incluíam a busca por credenciais, o mapeamento de sistemas internos e a coleta de dados financeiros e de identidade sensíveis.
Esses detalhes são importantes porque o risco está não apenas no que um modelo pode gerar, mas em como sua saída se conecta a ferramentas e a acessos reais.
O grupo, rastreado pela Straiker como AiPT-67, atuava como Tr4nsHack Team, sob o nome Hexagon Security Labs Mexico. A Straiker o relaciona ao CyberCartel, um agente de ameaças focado em fraudes financeiras, que, segundo a empresa, está ativo desde 2012.
Claude e Grok explorados
Um retrato do FinancialSoft feito em 24 de setembro de 2026 teria reunido 4.493 registros, incluindo 2.911 endereços de e-mail e 903 números de contas, além de senhas, chaves de API (interface de programação de aplicações) e outros materiais de acesso.
A Straiker também relatou credenciais associadas à infraestrutura de pagamentos e ao SPEI (Sistema de Pagamentos Eletrônicos Interbancários), o sistema de pagamentos interbancários do México. A empresa afirma que as organizações vítimas foram anonimizadas e que as credenciais ativas e o material de exploração foram ocultados.
Essas são constatações relatadas pela Straiker, e não um levantamento verificado de forma independente sobre invasões bem-sucedidas ou perdas financeiras.
A divulgação também levou os provedores de IA a agir. Segundo a Straiker, a Anthropic revogou a credencial comprometida usada para acessar o Claude, bloqueando essa rota, enquanto a xAI foi notificada e investigava a atividade associada aos mineradores do Grok.
Essa resposta é significativa, mas também ilustra uma limitação de depender de um único provedor para interromper uma operação com vários modelos: os atacantes podem trocar de modelo, usar código local ou continuar com ferramentas convencionais.
Para os defensores, a principal lição é operacional. A IA pode reduzir o tempo de reconhecimento, análise e coordenação, mas não elimina a necessidade de credenciais roubadas, serviços vulneráveis ou controles de acesso falhos.
Bancos e empresas de pagamento devem priorizar a rotação de credenciais e chaves de API, o acesso com privilégio mínimo, a proteção dos sistemas de identidade e pagamento e o monitoramento que conecte atividades suspeitas entre contas, dispositivos e aplicações.
As equipes de segurança também devem manter um inventário dos agentes de IA e das ferramentas e dados que eles podem acessar, além de testar se esses agentes podem ser usados indevidamente ou levados a agir além de suas permissões.
O CARLIY0S aponta para uma mudança na forma como o crime cibernético pode se organizar: a IA não está sendo usada apenas para tarefas isoladas, mas como parte de um fluxo coordenado de ataque.
Os operadores humanos continuam no centro da operação. A importância do sistema está em que ele pode ajudá-los a trabalhar mais rápido e em maior escala.
