案例 gtig-unc5673-llm-account-poolingLLM 劫持全球
中国集群UNC5673和UNC6201通过代理池化Gemini、Claude和OpenAI账户
GTIG发现UNC5673（与TEMP.Hex重叠）使用Claude-Relay-Service和CLI-Proxy-API共享池化账户，UNC6201则试用一个绕过CAPTCHA和短信验证自动注册高级LLM账户的脚本。
中针对 AI 的攻击状态: 进行中已核实案例档案
- 报道日期
- 2026年5月11日
- 地点
- 全球
- 目标
- 前沿模型提供商的账户和计费控制
- 严重程度
- 中
- 发起者
- UNC5673和UNC6201（中国）
- 行为者类型
- 国家支持
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
GTIG发现UNC5673（与TEMP.Hex重叠）使用Claude-Relay-Service和CLI-Proxy-API共享池化账户，UNC6201则试用一个绕过CAPTCHA和短信验证自动注册高级LLM账户的脚本。
影响: 国家行为者在无归因、不付费的情况下获得模型访问；提供商损失未量化。
谁发起了攻击
行为者: UNC5673和UNC6201（中国）
归因: GTIG评估两个集群均与中国有关；UNC5673针对南亚和东南亚政府。
动机: 为行动获取廉价、抗封禁的高级模型访问
如何发生
攻击途径: API聚合器、自动注册工具和指纹隔离浏览器
根本原因: 账户开通和计费控制可被自动化绕过
时间线
- UNC6201试用一个自动注册并取消高级LLM账户的GitHub脚本
- GTIG发布关于混淆访问的调查结果
应对
谷歌建议提供商围绕聚合器基础设施构建信号逻辑；账户被禁用。
当前状态: 进行中
来源（在新标签页打开）
- GTIG AI Threat Tracker May 2026 cloud.google.com
- Secure Blink coverage secureblink.com
引用此案例
中国集群UNC5673和UNC6201通过代理池化Gemini、Claude和OpenAI账户. AI Threat Watch, 案例 gtig-unc5673-llm-account-pooling, 2026年5月11日. https://aithreat.io/zh/cases/gtig-unc5673-llm-account-pooling/
永久链接: https://aithreat.io/zh/cases/gtig-unc5673-llm-account-pooling/