Dossier gtig-unc5673-llm-account-poolingLLMjackingMondial
Les groupes chinois UNC5673 et UNC6201 mutualisaient des comptes Gemini, Claude et OpenAI
Le GTIG a découvert qu'UNC5673 (recoupant TEMP.Hex) utilisait Claude-Relay-Service et CLI-Proxy-API pour partager des comptes mutualisés, et qu'UNC6201 testait un script enregistrant automatiquement des comptes LLM premium avec contournement de CAPTCHA et de SMS.
MoyenneAttaque contre l’IAStatut: En coursDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 11 mai 2026
- Lieu
- Mondial
- Cible
- Contrôles de comptes et de facturation des fournisseurs de modèles de pointe
- Gravité
- Moyenne
- Déclenché par
- UNC5673 et UNC6201 (Chine)
- Type d’acteur
- Acteur étatique
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
Le GTIG a découvert qu'UNC5673 (recoupant TEMP.Hex) utilisait Claude-Relay-Service et CLI-Proxy-API pour partager des comptes mutualisés, et qu'UNC6201 testait un script enregistrant automatiquement des comptes LLM premium avec contournement de CAPTCHA et de SMS.
Impact: Des opérateurs étatiques obtiennent l'accès aux modèles sans attribution ni paiement ; pertes des fournisseurs non chiffrées.
Qui l’a déclenché
Acteur: UNC5673 et UNC6201 (Chine)
Attribution: Le GTIG évalue les deux groupes comme liés à la RPC ; UNC5673 vise des gouvernements d'Asie du Sud et du Sud-Est.
Mobile: Accès bon marché et résistant aux bannissements à des modèles premium pour leurs opérations
Comment c’est arrivé
Vecteur d’attaque: Agrégateurs d'API, outils d'inscription automatisée et navigateurs à isolation d'empreinte
Cause racine: Les contrôles de provisionnement de comptes et de facturation peuvent être contournés par automatisation
Chronologie
- UNC6201 teste un script GitHub qui enregistre et annule automatiquement des comptes LLM premium
- Le GTIG publie ses conclusions sur l'accès dissimulé
Réponse
Google a recommandé aux fournisseurs de bâtir une logique de signaux autour des infrastructures d'agrégation ; comptes désactivés.
Statut actuel: En cours
Sources (nouvel onglet)
- GTIG AI Threat Tracker May 2026 cloud.google.com
- Secure Blink coverage secureblink.com
Citer ce dossier
Les groupes chinois UNC5673 et UNC6201 mutualisaient des comptes Gemini, Claude et OpenAI. AI Threat Watch, dossier gtig-unc5673-llm-account-pooling, 11 mai 2026. https://aithreat.io/fr/cases/gtig-unc5673-llm-account-pooling/
Lien permanent: https://aithreat.io/fr/cases/gtig-unc5673-llm-account-pooling/