Was die Untersuchung über CARLIY0S aussagt
Straiker veröffentlichte am 21. Oktober 2026 eine Untersuchung zu CARLIY0S. Nach Angaben des Unternehmens nutzten Betreiber mit Verbindungen zu CyberCartel das System, um Aktivitäten gegen mehr als 400 Finanzziele in Lateinamerika zu koordinieren. Zu den anvisierten Organisationstypen gehörten demnach Banken und Zahlungsdienstleister. Die Zahl bezieht sich auf Ziele; sie belegt nicht, dass mehr als 400 Institutionen erfolgreich kompromittiert wurden.
Straiker zufolge stützte sich die Untersuchung auf den Zugriff auf eine Momentaufnahme von Systemen und Arbeitsmaterialien, die der Gruppe zugeschrieben werden. Dazu gehörten Konfigurationsdateien, Skripte, Infrastruktur und eine Datenbank namens FinancialSoft. Das ist ein direkter Beleg dafür, was sich in dieser Umgebung befand. Der Bericht enthält jedoch keine unabhängige Überprüfung jedes einzelnen Angriffs und nennt die betroffenen Organisationen nicht. Die Zuordnungen und Angaben zur Reichweite sind daher als Untersuchungsergebnisse von Straiker zu verstehen, nicht als öffentliche Bestätigung von Verantwortlichkeit oder Schäden bei jeder einzelnen Institution.
Auch die vorliegenden Berichte zum Fall weisen auf diese Einschränkung hin: Die Namen der Banken wurden nicht veröffentlicht. Deshalb lässt sich öffentlich nicht feststellen, welche Institutionen in der Region möglicherweise betroffen waren. Ebenso fehlt eine überprüfbare Liste, die jedes der mehr als 400 Ziele mit einem erfolgreichen Zugriff, einem Datenabfluss oder finanziellen Verlusten in Verbindung bringt.
Eine Werkzeugkette statt eines einzelnen autonomen Agenten
Straiker beschreibt CARLIY0S als verteilte Struktur, in der menschliche Betreiber, Skripte, Sicherheitstools und kommerzielle Modelle zusammenwirkten. Das System soll auf PentAGI, einem Framework für automatisierte Sicherheitstests, sowie auf Komponenten zur gemeinsamen Nutzung von Informationen und zur Aufgabenverteilung aufgebaut haben. Treffender ist daher die Beschreibung als KI-unterstützte, koordinierte Operation und nicht als ein Agent, der allein gehandelt hat.
Dem Bericht zufolge hatten verschiedene Modelle unterschiedliche Aufgaben. Claude taucht in einer Konfiguration mit Agenten auf, die Informationen analysierten, Code erzeugten oder Handlungsoptionen bewerteten; ein Modell soll über Cursor als Koordinator gedient haben. Grok wird mit der Erfassung und Sortierung von Informationen in Verbindung gebracht, während Kimi in bestimmten Konfigurationen als Ausweichlösung vorgesehen war. Konfigurationsdateien beweisen für sich genommen nicht, dass jedes Modell bei jedem Schritt oder gegen jedes Ziel erfolgreich eingesetzt wurde.
Beschrieben werden außerdem herkömmliche Werkzeuge zur Automatisierung von Webinteraktionen, zur Analyse des Datenverkehrs und zur Synchronisierung von Informationen zwischen Geräten. Die Modelle konnten Analysen oder Vorschläge liefern; der Zugriff auf Systeme und die Ausführung von Aktionen hingen jedoch von Werkzeugen, Zugangsdaten, Skripten und Infrastruktur ab. Allein aus einer vorhandenen KI-Konfiguration lässt sich daher nicht ableiten, wie erfolgreich eine bestimmte Phase tatsächlich war.
Welche Rolle den einzelnen Komponenten zugeschrieben wird
Die Tabelle fasst zusammen, was Straiker nach eigenen Angaben in den dem System zugeschriebenen Materialien beobachtet hat. Sie belegt nicht, dass jede Funktion bei allen Angriffen vollständig ausgeführt wurde.
| Komponente | Beschriebene Funktion | Grenze der Belege |
|---|---|---|
| Claude | Analyse, Abwägung von Optionen und Koordination von Aufgaben in Konfigurationen mit mehreren Agenten. | Konfigurationsdateien belegen nicht, dass das Modell bei jeder Operation erfolgreich aufgerufen wurde. |
| Grok | Auslesen oder Erfassen von Daten, die in FinancialSoft einflossen. | Die Existenz von fünf „Grok Miners“ belegt weder die Herkunft noch die Verwendung jedes einzelnen Datensatzes. |
| Kimi | Alternativ- oder Ausweichmodell in bestimmten Abläufen. | Eine vorgesehene Ausweichkonfiguration beweist nicht, dass sie in jedem Fall aktiviert wurde. |
| Skripte und Werkzeuge | Automatisierung der Navigation, Verarbeitung von Daten und Verbindung mit anderen Systemen. | Ihre Präsenz allein bestätigt nicht, dass ein Eindringen erfolgreich war. |
| Menschliche Betreiber | Festlegung von Zielen und Beaufsichtigung der beschriebenen Operation. | Die Untersuchung beziffert nicht genau, wie stark Menschen in jeder Phase beteiligt waren. |
Was die Aufzeichnungen zeigen – und was sich daraus nicht ableiten lässt
Die Momentaufnahme von FinancialSoft, die Straiker nach eigenen Angaben untersuchte, enthielt 4.493 Datensätze. Die Beschreibung umfasst Finanzkontodaten, E-Mail-Adressen, Passwörter, API-Schlüssel und weitere sensible Informationen. Zu den veröffentlichten Zahlen gehören 2.911 E-Mail-Adressen und 903 Kontonummern. Diese Angaben beziehen sich auf das untersuchte Inventar. Sie geben weder die Zahl der betroffenen Personen an noch bestätigen sie, dass alle Daten gültig waren oder verwendet wurden.
Der Bericht nennt außerdem Zugangsdaten für Zahlungsinfrastruktur, darunter Informationen, die mit SPEI, dem mexikanischen Interbank-Zahlungssystem, in Verbindung stehen könnten. Offen gelegte Zugangsdaten können das Risiko unbefugter Zugriffe oder von Betrug erhöhen. Sie reichen jedoch nicht als Nachweis dafür aus, dass Überweisungen ausgeführt, Kundenkonten aufgerufen oder Zugangsdaten verwendet wurden, die noch aktiv waren.
Straiker erklärt, die betroffenen Organisationen in der Veröffentlichung anonymisiert und sensible Materialien bereinigt zu haben. Leserinnen und Leser können deshalb weder die Identität der Institutionen überprüfen noch den Status jedes erwähnten Kontos oder Schlüssels öffentlich nachvollziehen. Umfang und Art der Datensätze rechtfertigen defensive Aufmerksamkeit, sollten aber nicht als Beleg für konkrete Verluste dargestellt werden.
Reaktion der Anbieter und Reichweite der Maßnahmen
Straiker zufolge teilte das Unternehmen relevante Indikatoren mit den Modellanbietern. Nach Angaben von Straiker widerrief Anthropic einen kompromittierten Zugangsschlüssel, der für den Zugriff auf Claude verwendet worden war. Außerdem sei xAI informiert worden und prüfe die mit fünf „Grok Miners“ verbundene Aktivität. Diese Maßnahmen betreffen den Zugang zu bestimmten Diensten; sie belegen nicht, dass die gesamte der Gruppe zugeschriebene Infrastruktur abgeschaltet wurde.
Die vorliegenden Materialien dokumentieren keine konkreten Maßnahmen lateinamerikanischer Banken, um KI-Agenten zu blockieren. Auch wird nicht genannt, welche Institutionen bestimmte Kontrollen einführen. Daher lässt sich nicht behaupten, dass Banken in der Region nach diesem Fall eine allgemeine Sperre für Agenten von Drittanbietern eingeführt hätten. Davon zu unterscheiden sind vorbeugende Beschränkungen, über die in anderen Märkten berichtet wurde; sie belegen keine Reaktion lateinamerikanischer Institute.
Aus defensiver Sicht verweist der Fall auf Bereiche, die Institutionen überprüfen können: offengelegte Zugangsdaten, API-Berechtigungen, Zugriffe auf Verwaltungsportale, ungewöhnliche Aktivitäten und Verbindungen zu externen Diensten. Das sind sinnvolle Ansatzpunkte zur Abwehr von Zugriffs- und Automatisierungsrisiken. Sie sind jedoch weder eine Garantie für die Erkennung von Angriffen noch eine Liste von Maßnahmen, deren Umsetzung bei den betroffenen Banken bestätigt wäre.
Was nach einer möglichen Offenlegung von Zugangsdaten zu prüfen ist
Dies sind allgemeine Kriterien für die Reaktion auf einen Vorfall. Die verfügbaren Quellen bestätigen nicht, dass eine bestimmte Institution sie in diesem Fall umgesetzt hat.
- 01Feststellen, welche Zugangsdaten oder Schlüssel als offengelegt gelten und auf welche Systeme sie Zugriff ermöglichen.
- 02Betroffene Zugangsdaten widerrufen oder austauschen und auf ungewöhnliche Zugriffe oder Verwendungen prüfen.
- 03Authentifizierungsprotokolle, API-Aktivitäten und Änderungen an verbundenen Systemen untersuchen.
- 04Berechtigungen auf das Notwendige begrenzen und reine Abfragefunktionen von Funktionen trennen, die Aktionen ausführen können.
- 05Anbieter und externe Dienste, die an der Reaktion beteiligt sind, weiter beobachten.
Was sich für die KI-Sicherheit ändert – und was nicht
Die Bedeutung des Falls hängt nicht davon ab, ob ein Modell allgemein autonom gehandelt hat. Die Untersuchung beschreibt eine Kombination aus kommerziellen Modellen, automatisierten Werkzeugen, Skripten, gemeinsam genutzter Infrastruktur und menschlichen Betreibern. Ein solcher Verbund kann Aufgaben organisieren und den Umfang einer Operation vergrößern. Der Bericht belegt jedoch nicht, dass KI die Angreifer ersetzte oder jede Aktion selbst auswählte und ausführte.
Die von Straiker präsentierten Belege stammen aus einer Fallstudie zu Materialien, die das Unternehmen der Arbeitsumgebung der Betreiber zuschreibt. Die Untersuchung ist für sich genommen weder eine unabhängige Messung der Häufigkeit agentengestützter Angriffe noch ein Beleg dafür, dass dieselbe Architektur bei anderen Gruppen oder in anderen Branchen zu vergleichbaren Ergebnissen führt. Eine Modellkonfiguration beweist auch nicht, dass das Modell erfolgreich an einem Angriff beteiligt war.
Die praktische Schlussfolgerung ist enger gefasst: Finanzinstitute sollten berücksichtigen, dass KI-Werkzeuge in offensive Arbeitsabläufe eingebunden sein können, die bereits auf herkömmlicher Software und Infrastruktur beruhen. Die Reaktion besteht nicht allein darin, ein Modell zu sperren. Ebenso wichtig sind der Schutz von Zugangsdaten, begrenzte Berechtigungen, die Überwachung von Konten und APIs sowie die Prüfung von Vorfällen anhand technischer Protokolle. Die vorliegenden Quellen belegen weder eine neue regulatorische Maßnahme noch eine gemeinsame Richtlinie lateinamerikanischer Banken.
Offene Fragen
- Die anvisierten Organisationen wurden nicht öffentlich identifiziert. Deshalb lässt sich nicht überprüfen, welche davon tatsächlich erfolgreich angegriffen wurden.
- Es gibt keine veröffentlichte, überprüfbare Zuordnung zwischen den mehr als 400 Zielen, der Zahl kompromittierter Institutionen, entwendeten Daten oder finanziellen Verlusten.
- Dass Modellkonfigurationen in den der Gruppe zugeschriebenen Materialien vorkommen, beweist nicht, dass jedes Modell in jeder Phase erfolgreich ausgeführt wurde.
- Die vorliegenden Quellen bestätigen nicht, welche konkreten Maßnahmen lateinamerikanische Banken zur Erkennung oder Blockierung von KI-Agenten umgesetzt haben.
Weiter entdecken
Verwendete Quellen
Korrekturen und Transparenz
Wenn du falsche oder veraltete Angaben findest, sende uns die Seite und die zu prüfende Quelle.
Korrektur vorschlagen