AIセキュリティ企業のStraikerは2026年10月21日、犯罪集団「CyberCartel」が複数のAIモデルを組み合わせた攻撃基盤「CARLIY0S」を運用し、数カ月間で400以上の金融関連の標的を攻撃したと報告した。この基盤では、4つの役割に分けたAnthropicのClaude、情報収集を担う5つのxAIのGrok、Moonshot AIのKimiなどを使い分けていたという。Straikerは9月24日、攻撃者が収集した認証情報など4,493件を含むデータベースも確認した。ただし、400以上という数字は攻撃対象の数であり、実際に侵害された金融機関の数や被害額は明らかになっていない。
今回の報告で特徴的なのは、AIモデルの提供企業が利用記録から攻撃を分析した従来の事例とは異なり、攻撃者自身の作業環境からシステムの構造を調べた点だ。そこには、AIモデルが攻撃に関する要求を拒否した場合、あらかじめ用意したローカルの攻撃コードに処理を切り替える仕組みも組み込まれていた。複数のAIモデルを使い分ける攻撃基盤に対し、個々のモデル提供者による安全対策やアクセス遮断がどこまで有効なのかという問題を浮き彫りにしている。
「標的400以上」と「4,493件」が意味する被害の実態
Straikerが報告した「400以上」は、CyberCartelが数カ月間に攻撃対象とした金融関連の標的数であり、侵害に成功した機関の数ではない。一方、「4,493件」は、同社の調査エージェントが2026年9月24日にアクセスした「FinancialSoft」というデータベースに保存されていた記録の数だ。この情報は、Grokを利用する5つの情報収集エージェントによって集められたという。両者は集計対象も期間も異なるため、単純に比較して被害規模を推定することはできない。
報告に登場する主な数字を整理すると、次のようになる。
| 数字 | 数えている対象 | 時点・期間 | 注記 |
|---|---|---|---|
| 400以上 | 攻撃対象とした金融関連の標的 | 数カ月間 | 下限値。侵害が確認された機関数ではない |
| 4,493件 | FinancialSoftに保存された記録 | 2026年9月24日 | 調査時点のスナップショットであり、保有データの全体とは限らない |
| 2,911件 | メールアドレス | 2026年9月24日 | FinancialSoft内の記録 |
| 903件 | メキシコの標準銀行口座番号（CLABE） | 2026年9月24日 | FinancialSoft内の記録 |
| 391件 | 一般のAPIキー | 2026年9月24日 | FinancialSoft内の記録 |
| 43件 | フィンテック企業1社の認証情報（APIキー11件、暗号鍵32件） | 2026年9月24日 | 決済システムの悪用につながる可能性がある |
| 270件超 | 被害組織に関する侵入テスト報告書 | 2026年5〜9月 | 下限値。4,493件には含まれない |
FinancialSoftには13種類の記録が保存されていた。上表のメールアドレス2,911件、CLABE 903件、一般のAPIキー391件、フィンテック企業1社の認証情報43件に加え、平文パスワード67件、ポータルへのログイン情報51件、データベース接続文字列43件、JWT署名鍵20件、Keycloakの認証情報20件、デジタル証明書4件、Wasabi S3の認証情報19件、Mailgunの認証情報15件、バックドア6件が含まれる。これらを合計すると4,493件になる。なお、侵入テスト報告書270件超と脆弱性200件超は別の資料であり、この合計には含まれていない。
CLABEの903件は全記録の約2割を占めるが、これはデータベース内の記録数に対する割合であり、被害機関数や被害額の割合ではない。Straikerは被害組織を匿名化し、中南米、特にメキシコの金融機関や銀行、フィンテック企業の決済ゲートウェイなどに分類しているものの、具体的な機関名や国別の内訳は示していない。そのため、400以上の標的のうち何機関への侵入に成功したのか、4,493件の記録が何機関から流出したものなのかは分からない。1つの機関から複数の情報が盗まれた可能性も、攻撃を受けながら情報を盗まれなかった標的が存在する可能性もある。
決済関連の認証情報について、Straikerはメキシコの銀行間決済システム「SPEI」の悪用につながる可能性を指摘している。また、作戦中に観測された試験的な取引とも整合すると説明しているが、実際に不正送金が行われたかどうかや、その金額は明らかにしていない。
これらの数字はいずれもStraikerによる調査結果であり、被害機関や捜査当局による独立した確認は報告に含まれていない。同社は攻撃テストや実行時のセキュリティ対策製品を販売する企業でもあり、報告の末尾には自社サービスの案内が掲載されている。報告の技術的な内容と、被害規模に関する主張は分けて評価する必要がある。
Claudeを4つの役割に分け、5つのGrokで情報を収集する攻撃基盤
CARLIY0Sの基盤となっているのは、VXControlがオープンソースで公開している「PentAGI」だ。PentAGIは本来、許可を得たセキュリティ検査の自動化を目的とするマルチエージェント基盤であり、犯罪行為のために開発されたものではない。Straikerによると、CyberCartelの運用者はPentAGIに独自のスクリプトを追加し、複数の商用AIモデルを攻撃工程ごとに使い分ける構成を作り上げていた。
全体の司令役を担うのは、開発環境「Cursor」上で動作するClaudeだ。Anthropic APIを通じて複数のClaudeモデルを呼び出し、実行と攻撃コードの生成、偵察と分析、通常とは異なる侵入経路の探索、最終判断という4つの役割を分担させていた。設定ファイルに記載されたモデル名は、実行役が「claude-opus-4-7」、偵察役が「claude-opus-4-8」、侵入経路の探索役が「claude-fable-5」、最終判断役が「claude-opus-5」である。ただし、「claude-fable-5」は設定ファイルに記載されていただけで、実際にAPI呼び出しが成功した証拠は確認されていない。 Straiker自身も、このモデルが実際に使用されたかどうかは未確認としている。
複数のClaudeによる判断は、2段階に分かれていた。まず実行、偵察、侵入経路の探索を担当する3つのエージェントが標的ごとに検討し、最後に判断役のエージェントが結論を出す。複数の視点から攻撃方法を検討したうえで実行方針を決める構成だが、この仕組みによって攻撃の成功率や効率がどの程度向上したのか、定量的なデータは示されていない。
情報収集は、Claudeとは別のエージェント群が担当していた。Straikerが「マイナー」と呼ぶ5つのGrokエージェントが標的から秘密情報を収集し、FinancialSoftに蓄積する仕組みだ。運用者は2台の端末を使用し、MCP（Model Context Protocol）を介して知識グラフを共有していた。MCPはAIモデルを外部ツールやデータに接続するための規格であり、この環境では一方の端末で得られた標的情報を、もう一方からも参照・更新できるようになっていた。通信には住宅用プロキシを使用し、メキシコ国内からアクセスしているように見せかけていたという。
Straikerによると、攻撃者はAIモデルに対して、作業を許可済みのレッドチーム業務や学術研究の一環として説明し、正規のセキュリティ検査を装うことで安全対策の回避を図っていた。ただし、攻撃のすべてをAIが自律的に進めていたわけではなく、人間の運用者も継続して関与していた。運用者は表向きの会社を名乗って活動していたとされ、Straikerは、AIを組み合わせることで少人数の犯罪集団でも多数の標的に対して攻撃を展開し、その速度を高められると分析している。
Anthropicの調査との違いは、攻撃者側の作業環境を確認したこと
AIを悪用したサイバー攻撃については、Anthropicもこれまで複数の事例を公表している。同社は2025年8月27日、Claude Codeを使って医療、緊急サービス、行政、宗教団体など少なくとも17組織を狙ったデータ恐喝活動を阻止したと発表した。同年11月には、中国の国家支援を受けているとみられる集団がClaude Codeを利用して約30の標的への侵入を試み、一部で成功したと報告している。この事例では作業の80〜90%をAIが担当し、人間による判断は1作戦あたり4〜6回程度だった一方、AIが実在しない認証情報を生成するなどの失敗も確認された。
Anthropicは2025年11月13日の報告で、AIを利用した自律型サイバー攻撃の運用モデルを説明し、2026年9月の報告では、同様の手法が調査対象となったさまざまな種類の攻撃者に広がっていると指摘した。この9月の報告ではPentAGIにも言及しており、公開されたエージェント基盤が攻撃者に共通の足場を与えていると分析している。ただし、AIの自律性が高まることと、被害の深刻さが増すことは同義ではない。標的の選定、攻撃結果の確認、盗んだ情報の換金などには、依然として人間が深く関与しているという。
Anthropicの2026年9月の報告で扱われたサイバー作戦の事例は、2025年12月から2026年8月までのもので、使用されたモデルはHaiku、Sonnet、Opusだった。同社はFableとMythosについて、悪意ある活動を確認していないと説明している。Straikerはこの記述を踏まえ、CyberCartelの設定に含まれていた「claude-fable-5」が実際に使用されていたと確認できれば重要な発見になるとしているものの、その証拠は示していない。
今回のStraikerの報告が従来の調査と異なるのは、分析対象となった情報の出所だ。Anthropicの報告は自社サービスの利用記録から攻撃を分析したものだが、Straikerは攻撃者側の統括スクリプト、モデルの設定ファイル、収集された秘密情報の一覧などを調べている。これにより、攻撃目標の設定から実行、情報収集までの一連の仕組みを攻撃者の環境から再構成した。Straikerは、こうした観点から攻撃基盤全体を記録した調査として「我々の知る限り初めて」と位置づけているが、PentAGIやマルチエージェント構成そのものを新しい技術だと主張しているわけではない。
なお、Anthropicの報告にある17組織や約30標的と、Straikerの400以上という数字を直接比較することはできない。それぞれ観測した環境や期間、標的の数え方が異なるためだ。また、Anthropicの報告はCyberCartelを名指ししておらず、これらが同一の犯罪集団による一連の攻撃だったと確認されたわけでもない。
AIが要求を拒否すると、ローカルの攻撃コードに自動切り替え
Straikerの調査で特に注目されるのが、AIモデルによる安全上の拒否を想定した処理の仕組みだ。報告によると、CARLIY0Sでは補助モデルが攻撃的な要求を拒否すると、統括スクリプトがそのモデルとの通信を終了し、あらかじめ用意されたローカルの攻撃コードへ処理を切り替えるようになっていた。拒否に関係する補助モデルとして挙げられているのは「KIMI-2」「KIMI-3」「SONNET-2」である。AIへの問い合わせを必要としない固定コードに処理を移すことで、モデルが要求に応じなくても攻撃工程を続けられる設計だ。
Straikerは、このようにローカルの固定コードへ自動的に切り替える仕組みについて、同社が知る限り報告例のないものだと説明している。ただし、具体的に示されているのは補助モデルが拒否した場合の動作であり、司令役や4つの役割を担うClaudeが要求を拒否した場合の処理は明らかになっていない。報告本文には、拒否するAIの数にかかわらず攻撃を進められるという広い説明もあるが、確認できる具体的な仕組みは補助モデルに関するものだ。この違いを踏まえて評価する必要がある。
こうした設計は、個々のAI提供企業による安全対策の限界を考えるうえでも重要となる。あるモデルが危険な要求を拒否すれば、そのモデルを使う処理は止まるものの、別のAIモデルやローカルのプログラムが代替手段として用意されていれば、攻撃基盤全体が停止するとは限らない。CARLIY0SにはClaudeだけでなく、5つのGrokエージェントやKimiなどの補助モデルも組み込まれていたため、Anthropicが自社サービスへのアクセスを遮断しても、その措置が他社のモデルに直接及ぶことはない。
Straikerによると、同社は報告の公開前に関連する情報をAI提供企業へ共有した。AnthropicはClaudeへの接続に使用されていた侵害済みの認証情報を失効させ、攻撃基盤からClaudeへのアクセスを遮断したという。一方、xAIも通知を受け、5つのGrokエージェントに関連する活動を調査しているとされる。ただし、いずれもStraiker側の説明であり、報告にはAnthropicやxAI自身による確認内容は含まれていない。また、失効した認証情報が攻撃者自身のものだったのか、第三者から盗まれたものだったのかも明らかではない。
Anthropicの措置によってClaudeへの接続は遮断されたものの、Grokを使う情報収集工程についてはxAIの調査結果が待たれる状況だ。さらに、収集済みの情報はFinancialSoftに保存されており、AI提供企業の管理下にはない。ローカルの攻撃コードはモデルへの問い合わせなしで動作でき、住宅用プロキシを使う通信経路もAIモデルとは独立している。そのため、モデル提供者によるアクセス遮断だけで攻撃基盤のすべての機能を無効化できるとは限らない。ただし、認証情報の失効後もCyberCartelが攻撃を継続したという事実は、今回の報告では確認されていない。
AIモデルによる拒否や認証情報の失効が無意味というわけではない。Claudeへのアクセスは実際に遮断され、補助モデルの拒否も攻撃者に別の処理への切り替えを必要とさせている。問題は、そうした対策が攻撃全体の遂行にどれほどの影響を与えたのか、今回の資料だけでは測定できないことだ。
Anthropicは2026年9月の報告で、AIサービスのAPIキーやセッショントークン自体が攻撃対象になっているとも指摘している。そのうえで、組織はAIのAPIキーやエージェント連携を、本番環境で使用する認証情報と同じ水準で保護する必要があると説明した。AIへのアクセスを制御する責任はモデル提供者だけにあるのではなく、利用する組織にもあるということだ。
金融庁と日本銀行が求める対策との共通点
金融庁と日本銀行は2026年5月22日、金融機関などの代表者に対し、「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応」を要請した。これはStraikerの報告が公開される約5カ月前の文書であり、CyberCartelの活動を受けて出されたものではない。主な懸念は、AIによって大量の脆弱性が短期間に発見され、従来のパッチ適用体制では対応が追いつかなくなる可能性だ。金融庁と日本銀行は、経営トップを含む経営層が直接関与し、重要なシステムから優先的に対策を進めるよう求めている。
特に、インターネットバンキングなどの重要業務を支える外部公開システムは、優先的に対応すべき対象として挙げられている。今回のStraikerの報告でも、攻撃対象にはフィンテック企業の決済ゲートウェイが含まれていた。また、CyberCartelの資料には、ウェブサイト、API、バックエンドなどで見つかったゼロデイ脆弱性を含む200件超の脆弱性情報と、被害組織に関する270件超の侵入テスト報告書が保存されていたという。こうした資料の構成は、外部からアクセス可能なシステムを優先して保護するという金融庁と日本銀行の方針とも関連する。
認証情報の保護も重要な論点となる。FinancialSoftではメールアドレス2,911件とCLABE 903件が大きな割合を占めるが、システムへのアクセス権限に直結する情報も多数含まれていた。一般のAPIキー391件をはじめ、平文パスワード67件、ポータルへのログイン情報51件、データベース接続文字列43件、JWT署名鍵20件などが確認されている。これらが悪用されれば、単なる情報漏洩にとどまらず、システムへの不正アクセスや権限の悪用につながるおそれがある。
金融庁と日本銀行の要請には、特権IDへの多要素認証の導入や、EDR（Endpoint Detection and Response）を活用した多層防御などが含まれている。一方、APIキーや署名鍵、データベース接続文字列の管理については、要請本文で個別に明示されていない。AnthropicがAIサービスの認証情報について本番環境と同水準の保護を求めていることも踏まえると、金融機関は従来のアカウント管理に加え、APIやAIエージェントが使用する認証情報も点検対象に含める必要がある。
また、金融庁と日本銀行は、AIによるサイバー脅威への対応はIT部門やセキュリティ担当部署だけでは完結しないと指摘している。攻撃を完全に防げない場合を想定し、重要なシステムの停止判断まで含めて経営トップが検討することを求めた。Straikerの報告にあるように、AIを組み合わせた攻撃基盤が数カ月間で400以上の標的を扱えるのであれば、攻撃を受ける側にも従来以上の対応速度が求められる可能性がある。ただし、金融庁と日本銀行がCyberCartelの事例について評価を示したわけではない。
今回の報告では、複数の商用AIモデルを組み合わせた攻撃基盤の構造と、収集された認証情報の一部が明らかになった。しかし、実際に侵害された金融機関の数や金銭的被害、メキシコ当局による確認、xAIの調査結果など、重要な点は依然として不明だ。設定ファイルに記載された「claude-fable-5」が実際に使われたかどうかも確認されていない。
それでも、AIモデルが攻撃を拒否した場合の代替処理や、複数の提供企業にまたがる分業構造が確認されたことには意味がある。今後はAnthropicやxAIによる追加説明と独立した検証が、報告の信頼性を判断する材料となる。防御側にとっては、AI提供企業の安全対策に依存するだけでなく、外部公開システムの保護、APIキーや署名鍵を含む認証情報の管理、侵害を前提とした対応体制を整えることが重要になる。
