Expediente gtig-unc5673-llm-account-poolingLLMjackingGlobal
Clústeres chinos UNC5673 y UNC6201 compartieron cuentas de Gemini, Claude y OpenAI mediante proxies
GTIG halló a UNC5673 (que se solapa con TEMP.Hex) usando Claude-Relay-Service y CLI-Proxy-API para compartir cuentas agrupadas, y a UNC6201 probando un script que registra automáticamente cuentas premium de LLM con elusión de CAPTCHA y SMS.
MediaAtaque a la IAEstado: En cursoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 11 may 2026
- Ubicación
- Global
- Objetivo
- Controles de cuentas y facturación de los proveedores de modelos de frontera
- Gravedad
- Media
- Provocado por
- UNC5673 y UNC6201 (China)
- Tipo de actor
- Patrocinado por un Estado
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
GTIG halló a UNC5673 (que se solapa con TEMP.Hex) usando Claude-Relay-Service y CLI-Proxy-API para compartir cuentas agrupadas, y a UNC6201 probando un script que registra automáticamente cuentas premium de LLM con elusión de CAPTCHA y SMS.
Impacto: Operadores estatales obtienen acceso a modelos sin atribución ni pago; pérdidas de los proveedores no cuantificadas.
Quién lo provocó
Actor: UNC5673 y UNC6201 (China)
Atribución: GTIG evalúa ambos clústeres como vinculados a la RPC; UNC5673 apunta a gobiernos del sur y sudeste de Asia.
Motivo: Acceso barato y resistente a bloqueos a modelos premium para operaciones
Cómo ocurrió
Vector de ataque: Agregadores de API, herramientas de registro automatizado y navegadores que aíslan la huella digital
Causa raíz: Los controles de aprovisionamiento de cuentas y facturación pueden eludirse con automatización
Cronología
- UNC6201 prueba un script de GitHub que registra y cancela automáticamente cuentas premium de LLM
- GTIG publica los hallazgos sobre acceso ofuscado
Respuesta
Google recomendó a los proveedores construir lógica de señales en torno a la infraestructura de agregadores; cuentas desactivadas.
Estado actual: En curso
Fuentes (pestaña nueva)
- GTIG AI Threat Tracker May 2026 cloud.google.com
- Secure Blink coverage secureblink.com
Citar este expediente
Clústeres chinos UNC5673 y UNC6201 compartieron cuentas de Gemini, Claude y OpenAI mediante proxies. AI Threat Watch, expediente gtig-unc5673-llm-account-pooling, 11 may 2026. https://aithreat.io/es/cases/gtig-unc5673-llm-account-pooling/
Enlace permanente: https://aithreat.io/es/cases/gtig-unc5673-llm-account-pooling/