KI-Schwarm greift 400 Finanzinstitute an und weicht Modell-Sperren aus

Worum es geht

Der US-Sicherheitsanbieter Straiker, spezialisiert auf die Absicherung von KI-Agenten, hat am 21. Oktober eine Analyse über ein System namens CARLIY0S veröffentlicht. Es soll von der kriminellen Gruppe CyberCartel genutzt werden, um in wenigen Monaten über 400 Banken, Bankeinheiten und Zahlungsdienstleister (Fintech-Gateways) in Lateinamerika anzugreifen. Besonders im Fokus steht Mexiko mit dem Überweisungssystem SPEI. Das Besondere: Ein „Schwarm“ aus mehreren KI-Modellen übernimmt die Arbeit, die früher menschliche Koordination erforderte.

Wichtig vorab: Die Angaben beruhen auf einer einzigen Quelle, einem Anbieter von Sicherheitswerkzeugen für Agenten, der am Ende seines Berichts eigene Produkte empfiehlt. Die Redaktion des Ursprungsartikels konnte die Funde nicht unabhängig prüfen. Straiker spricht außerdem nur von „mutmaßlichen“ Verbindungen zu mexikanischen Kartellen und liefert dafür keinen Beleg.

Die Gruppe und die Datenbasis

Straiker führt die Gruppe unter der Kennung AiPT-67 und datiert ihre Aktivität auf 2012. Sie trete als „Tr4nsHack Team“ mit einer Scheinfirma in Mexiko auf. Die Opferdaten decken laut Straiker Mai bis September 2026 ab. Die Forscher geben an, am 24. September einen Schnappschuss der Datenbank gestohlener Zugangsdaten (4.493 Einträge), Orchestrierungsskripte, Modellkonfigurationen und ein Opfer-Dashboard eingesehen zu haben. Lateinamerikanische Cyberkriminalität stützte sich lange auf Banking-Trojaner, Identitätsdiebstahl und Geldkuriere; KI-Agenten ändern vor allem den Durchsatz, weil Maschinen die menschliche Koordination ersetzen, die die Zahl paralleler Ziele begrenzte.

Ein Schwarm mit verteilten Rollen

CARLIY0S baut auf PentAGI auf, einem Open-Source-Framework für automatisierte Penetrationstests (also das Prüfen von Systemen auf Schwachstellen). Das Team ist wie eine menschliche Mannschaft organisiert:

• Kommandant: Claude, ausgeführt im Code-Editor Cursor, verteilt Aufgaben.
• GHOST: Aufklärung und Recherche öffentlicher Informationen.
• STRIKER: erzeugt Exploits (Code, der Schwachstellen ausnutzt).
• MAXIMUS: Schiedsrichter, der eine einzige „kritische Entscheidung“ fällt.
• Ein vierter Rolle sucht Wege zur seitlichen Bewegung im Netzwerk.

Die Agenten teilen einen gemeinsamen Wissensgraphen, der über Synchronisationsskripte aktuell gehalten wird, und folgen Regeldateien. Laut Konfiguration stecken hinter den Rollen mehrere Versionen von Claude Opus; Straiker betont selbst, dass ein Konfigurationseintrag nicht beweist, dass ein Modell tatsächlich aufgerufen wurde. Mehrere Modelle dienen dazu, dass Agenten über Ziele debattieren und gegenseitig Fehler und Halluzinationen (erfundene Ausgaben) erkennen, und sichern die Betriebskontinuität. Menschliche Geschwindigkeit sei der Flaschenhals der Gruppe gewesen.

Ausweichen bei Verweigerung

Der Schwarm rechnet mit Ablehnungen. Lehnt ein Modell eine Aufgabe ab, wechselt CARLIY0S zu Ausweichmodellen – Kimi des chinesischen Labors Moonshot oder Claude Sonnet – und zuletzt zu einer lokalen Datei mit vorab geschriebenem Angriffscode. Die Anweisungen stellen die Arbeit als autorisierten Penetrationstest oder akademische Forschung dar, ein Kontext-Trick, den Modellfilter schlecht erkennen. Parallel durchsuchen fünf Agenten auf Basis von xAIs Grok die gestohlenen Daten nach Geheimnissen.

Anthropic und xAI reagierten, nachdem sie vorab Straikers technische Indikatoren erhalten hatten. Anthropic widerrief die kompromittierte Kennung, über die der Schwarm auf Claude zugriff; xAI untersucht die Aktivität der fünf Grok-Agenten. Das kappt einen Zugang, neutralisiert aber nicht das System, das gerade für den Wechsel von Modell und Anbieter gebaut ist. Die Schutzmaßnahmen eines einzelnen Anbieters reichen somit nicht aus.

Techniken und Beute

Die Einstiegsmethoden sind klassisch, nur skaliert: Die Agenten steuern per Playwright einen Chromium-Browser ohne Oberfläche hinter Residential-Proxys (Datenverkehr wirkt wie von Privatpersonen) und schleusen Groovy-Code in Instanzen des Content-Management-Systems Magnolia CMS ein, um Befehle aus der Ferne auszuführen. Mit Burp Suite, über das MCP-Protokoll angebunden, fangen sie Datenverkehr ab, erkunden Oracle-Datenbanken, jagen Zugangsdaten und kartieren Subnetze. Straiker zählt über 200 Schwachstellen im Arsenal, teils angeblich den Herstellern unbekannt.

Der eigentliche Wert liegt in technischen Schlüsseln: Ein Signaturschlüssel erlaubt es, gültige Authentifizierungstoken zu fälschen, ein API-Schlüssel, als legitime Anwendung aufzutreten. Das öffnet Zahlungssysteme zuverlässiger als ein Kundenkonto und fällt kaum auf, solange niemand die Nutzung überwacht. Dass die Gruppe Pentest-Berichte ihrer Opfer besaß (einer deckt Juni/Juli 2026 ab), gab ihr zudem eine Karte bereits bekannter Schwächen.

Was unklar bleibt

Der Bericht beziffert weder gestohlene Summen noch, wie viele der rund 400 Ziele tatsächlich kompromittiert wurden, und erwähnt „Sentinel-Transaktionen“ ohne Details. Plausibel macht die Schilderung, dass andere Veröffentlichungen desselben Tages ähnliche Mechanismen beschreiben: CrowdStrike nannte vier Akteure, die Einbrüche mit Agenten auf Basis von Claude Code steuern, und Palo Alto Networks' Unit 42 einen Akteur, der Schutzmechanismen von DeepSeek V4 per einfacher Anweisung aufhebt. Die Übereinstimmung betrifft den Mechanismus (Agent, der Schritte selbst verkettet; austauschbares Modell), nicht das Ausmaß.

Empfehlungen

Straiker rät zunächst zu Sichtbarkeit: Welche Agenten laufen in den eigenen Systemen, worauf greifen sie zu, was dürfen sie? Überwachung soll Cloud, SaaS und interne Systeme verbinden, damit einzeln harmlos wirkende Ereignisse korrelieren. Dazu kommen ein Notschalter, der einem Agenten den Werkzeugzugang entzieht und ihn unter Beweissicherung isoliert, kontinuierliche Tests gegen konkrete Angriffsszenarien (inklusive Missbrauch der Geschäftslogik und Rechteausweitung) sowie strengere Identitätskontrolle und API-Sicherheit. Praktisch folgt aus der Beute: API-, Signatur- und Verzeichnisschlüssel wie privilegierte Konten inventarisieren, rotieren und überwachen; ungewöhnliche Nutzung ist ein Alarmsignal. Automatisierte Angreifer sind schneller, hinterlassen aber wiederkehrende Muster, die nur korrelierte Erkennung rechtzeitig verbindet.

Einordnung

Die Geschichte zeigt weniger neue Angriffstechnik als eine neue Organisationsform: Rollen, Schiedsrichter und Ausweichmodelle, wie Unternehmen sie für eigene Agenten bauen. Die Konsequenz: Modellanbieter-Filter sind nur eine Schicht; Banken müssen auf ihren eigenen Systemen verteidigen. Kritisch bleibt die dünne Beleglage: eine Quelle mit kommerziellem Interesse, keine bezifferten Schäden, keine unabhängige Bestätigung, und die Modellzuordnung beruht teils nur auf Konfigurationseinträgen.