Досье gtig-unc5673-llm-account-poolingLLMjackingВесь мир
Китайские кластеры UNC5673 и UNC6201 объединяли учётные записи Gemini, Claude и OpenAI в пулы через прокси
GTIG выяснила, что UNC5673 (пересекается с TEMP.Hex) использовала Claude-Relay-Service и CLI-Proxy-API для совместного доступа к пулам учётных записей, а UNC6201 испытывала скрипт, автоматически регистрирующий премиальные учётные записи LLM с обходом CAPTCHA и SMS-проверки.
СредняяАтака на ИИСтатус: ПродолжаетсяПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 11 мая 2026
- Локация
- Весь мир
- Цель
- Механизмы контроля учётных записей и биллинга провайдеров передовых моделей
- Критичность
- Средняя
- Инициатор
- UNC5673 и UNC6201 (Китай)
- Тип субъекта
- Государственный
- Сектор
- Технологии и вендоры ИИ
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
GTIG выяснила, что UNC5673 (пересекается с TEMP.Hex) использовала Claude-Relay-Service и CLI-Proxy-API для совместного доступа к пулам учётных записей, а UNC6201 испытывала скрипт, автоматически регистрирующий премиальные учётные записи LLM с обходом CAPTCHA и SMS-проверки.
Последствия: Государственные операторы получают доступ к моделям без атрибуции и оплаты; убытки провайдеров не оценены.
Кто стоит за инцидентом
Субъект: UNC5673 и UNC6201 (Китай)
Атрибуция: GTIG оценивает оба кластера как связанные с КНР; UNC5673 атакует правительственные структуры стран Южной и Юго-Восточной Азии.
Мотив: Дешёвый и устойчивый к блокировкам доступ к премиальным моделям для проведения операций
Как это произошло
Вектор атаки: API-агрегаторы, инструменты автоматической регистрации и браузеры с изоляцией цифровых отпечатков
Первопричина: Механизмы выдачи учётных записей и биллинга можно обойти с помощью автоматизации
Хронология
- UNC6201 испытывает скрипт с GitHub, автоматически регистрирующий и отменяющий премиальные учётные записи LLM
- GTIG публикует выводы о скрытом доступе к моделям
Реагирование
Google рекомендовала провайдерам выстраивать логику сигналов вокруг инфраструктуры агрегаторов; учётные записи заблокированы.
Текущий статус: Продолжается
Источники (открываются в новой вкладке)
- GTIG AI Threat Tracker May 2026 cloud.google.com
- Secure Blink coverage secureblink.com
Цитировать это досье
Китайские кластеры UNC5673 и UNC6201 объединяли учётные записи Gemini, Claude и OpenAI в пулы через прокси. AI Threat Watch, досье gtig-unc5673-llm-account-pooling, 11 мая 2026. https://aithreat.io/ru/cases/gtig-unc5673-llm-account-pooling/
Постоянная ссылка: https://aithreat.io/ru/cases/gtig-unc5673-llm-account-pooling/