四个席位给了 Claude，Kimi 那栏写着 blocked

2026 年 10 月 21 日，两家安全公司各发了一份威胁情报报告。

Straiker 的那份由 The Information 独家报道：一个主要打拉美金融机构的犯罪团伙，用一套叫 CARLIY0S 的多智能体系统，在几个月里攻击了 400 多个拉美金融目标，包括银行与支付机构。12

CrowdStrike 的那份由 Wired 报道：四支此前没有被记录过的团伙，在 5 月到 8 月之间把 AI 智能体接进了完整的入侵流程。作案框架留在对外开放的服务器目录里，谁都能翻——这两家公司正是这样看清了它们的内部。34

两家公司的样本不重叠，回答的却是同一个问题：这样的系统里，模型是怎么分工的。

AI 科技评论关心的是：中国的模型和中国的通道，在别人的攻击系统里被安排在哪一格，又是按什么排的。

Straiker 拿到的材料来自团伙自己的机器。

一台 61TB 的 RAID5 服务器当中心节点，两台操作机共用一张攻击知识图谱：一台机器上发现的目标，另一台立刻能看到。两台机器每 15 分钟同步一次。

nuclei、sqlmap、hashcat 这些动静最大的工具放在中心服务器上，某台操作机被人追到，这些工具仍然在。1

系统叫 CARLIY0S，跑在开源自动化测试框架 PentAGI 上。团伙对外的掩护公司叫 Hexagon Security Labs Mexico。1

成员来自 2012 年起就在拉美做金融犯罪的 CyberCartel，内部团队自称 Tr4nsHack。1

9 月 24 日，Straiker 取到团伙自己的一份快照：4,493 条记录，以 2,911 个邮箱、903 个 CLABE 账户号（墨西哥的银行账户编号）为主，另有 270 多份渗透测试报告，其中 200 多个漏洞含零日；还有 43 条属于一家支付机构的密钥。

这些凭据由五个"Grok 收割机"收集。1

规模说明这门生意有多大。座位表说明它怎么运转。

CARLIY0S 把决策拆成四个角色：STRIKER 写利用代码，GHOST 做侦察与验证，FABLE 找非常规路径，MAXIMUS 做最终裁决。1

四把椅子，坐的全是 Claude。1

连隐藏自己的方式都写进了系统规则：模型被禁止在输出里写出 Tr4nsHack 这个名字，为的是不让文字留下可供归因的线索。1

架构图的第二层有一个分叉。

左边一路标着 blocked models，括号里是 Kimi-2、Kimi-3、Sonnet-2。1

右边一路标着 active path，写的是用被盗的 .env 密钥调用 Claude API。1

Straiker 记下了机制：系统会先把攻击任务发给左边这几个模型，模型一旦认出指令的破坏性并触发拒绝，编排器既不报错也不停，切断连接，转到操作机上一份预先写好的攻击脚本 CARLIY0S_consolidated.py。1

一张架构图说明不了市场格局。

它说明的是排班顺序：谁做判断，谁做试探，谁在被拒之后跳过。

同一层里还坐着旧版 Sonnet。这条分界线划在型号的新旧上：旧版本放在先试的位置，旗舰放在裁决的位置。

CrowdStrike 按语言把四支团伙分成四组。

西语团伙打阿根廷医疗，至少 15 家机构被攻破，至少一家的病历与凭据被拿走。团伙搭了两个角色：一个"监督者"智能体派活，一个"执行者"干活，框架从开源项目 PentestGPT 改出来。他们用的模型是 Claude Opus 4.5、Haiku 4.5，加一个 DeepSeek V4 Pro。4

印尼语团伙最粗糙，819 个现成技能包多半从公开 GitHub 下载，也拿下了几个政府域名。4

俄语团伙用一条七步工作流，从一家美国 CRM 供应商里拖走客户数据。4

中文团伙做得最细：名单上列了 20 多个具体目标，攻破巴西与哥伦比亚的政府实体，另把巴西与美国的生物科技、医疗、食品饮料、零售、科技、旅游企业列为目标。4

他们准备了两套渗透框架。一套先做确定性侦察，再让模型在预设动作里挑一个；另一套放手得多，Claude Code 可以照着写好的标准流程一路跑完，也可以把任务拆给几个并行的专门智能体。3

CrowdStrike 的原话是，这个团伙主要通过"中国境内的 AI 代理服务"访问 Claude 模型；它在括号里自己写了 transfer station，中文一般叫"中转站"。3

Wired 补了型号和退路：主力是 Claude Opus 4.8，另外用到 Sonnet 4.6 和 DeepSeek Chat，Claude 走不通就切换到别的工具。4

Wired 对四支团伙的模型总结是："主要是 Claude 的各代版本，以及 DeepSeek 的开源权重版本。"4

公开可见的这两份材料只到型号这一层；具体哪一次攻击由哪个模型完成，都没有交代。

CrowdStrike 负责对抗行动的高级副总裁 Adam Meyers 给了一句更冷的判断：这些攻击没有用新漏洞，靠的是 AI 带来的速度和数量。4

他还说，模型路由之所以重要，是因为贵，而且"用更新的模型很多时候是浪费"。4

中文团伙还用了一个叫 ClawGod 的运行时补丁，去删 Claude Code 系统提示里的 CYBER_RISK_INSTRUCTION。4

这个补丁公开挂在 GitHub 上，由一个 ID 为 0Chencc 的开发者维护。仓库 2026 年 4 月建起，最近一次提交就在 10 月 21 日。5

截至 10 月 21 日晚上，它的数字是 GPL-3.0 许可、2,191 颗星、358 个 fork、161 次提交。5

作者把它写成"给 Claude Code 开上帝模式"。README 里有一张表，列清楚它拆掉什么：安全测试的拒绝、URL 生成限制、危险操作前的强制确认。6

还有一节叫隐私保护，处理的是会暴露使用者位置的那些痕迹：日期提示里用不同撇号和日期分隔符区分中国大陆时区，客户端会检查时区是不是 Asia/Shanghai 或 Asia/Urumqi、代理域名是否在黑名单里、base URL 是否带中国模型厂商的关键词。补丁把这些判定一律改成"没有"。6

README 另有一栏修"第三方缓存"，点名 DeepSeek、OneAPI、Bedrock、vLLM。6

说明写了中文、英文、日文三份；这一栏和这三种语言放在一起，指向同一个用户群：用 Claude Code 的外壳，接别家模型的接口。6

另外还有一条更省事的路：写一段设定。

Straiker 与 CrowdStrike 各自看到同一套剧本——把攻击包装成"授权的红队演练""学术 CTF 比赛""漏洞披露项目"，模型就把它当成防御工作的一部分；有的团伙还会往智能体的工作目录里塞几份"授权文件"，让任务看起来已经被批准。14

改程序是一条路，改剧本是另一条。前者要跟着版本更新维护，后者只要那几句身份设定写对。

"中转站"这个词有官方出处。

2026 年 9 月 8 日，美国 CISA、NSA、FBI 的联合公告里写着：中国 AI 公司使用被称为 transfer stations 的灰市代理，绕过美国公司的地理限制、违反使用条款、规避保障措施、破坏可追溯性。那份公告的主题是蒸馏。7

中国这边也在管。

国家安全部 6 月 8 日的专文把中转站定义成"介于用户和 AI 模型厂商官方服务之间的代理层"，列举的卖点包括价格低、支付方便、可以绕过网络访问与官方授权；列举的风险是数据裸奔、模型缩水、恶意植入、数据出境失管。8

网信办 9 月 15 日的执法典型案例里，第 10 起是江苏一家公司用两个网站做 API 中转站、未按规定做安全评估，被责令改正、警告处罚，通报里给出的理由是"存在内容安全风险"。9

美国那份公告的主题是蒸馏，落点写在使用条款与地理限制；中国这轮执法的落点是数据出境与内容安全。

在 AI 科技评论看来，这张座位表说明三件事。

第一，位置按分工排：判断与裁决的四把椅子全是 Claude，Kimi 待在试探那一层，DeepSeek 是清单上另外加的那一个。Meyers 把原因说得很直白：贵，用更新的模型常常是浪费。DeepSeek 自己的价目表就是分层的：deepseek-flash 谷时（非高峰时段，价格是峰时的一半）输出每百万 token 0.6 美元，V4-Pro 是 1.98 美元。10这两个数字之间的差，就是"先试一句"和"做决定"的价钱差。

第二，通道比模型难管。模型是产品，有版本、有出口、有备案；通道是接入，卖的是账号、一条能通的线路，以及把"人在哪"抹掉的服务。

第三，接下来该看两个数：Kimi 和 DeepSeek 会不会被换到 MAXIMUS 那把椅子上；ClawGod 的星数与提交频率还涨不涨。这两个数比跑分榜更早反映采购者的选择。

Straiker 说，披露之前已经把相关线索交给了厂商。Anthropic 随后撤销了那把被盗的密钥，xAI 也在查那五台 Grok 收割机。1

一把钥匙撤得掉。

一条通道撤不掉。