Объявление «доступ к GLM-5.3 без ограничений» звучит как готовый инструмент для атакующего. Но покупатель может получить веб-панель с неизвестной моделью, перепроданный API-ключ или доступ к чужому серверу. По одному объявлению невозможно установить, что именно запущено за интерфейсом.
В октябре 2026 года компания Flare изучила обсуждения и предложения в своей базе, охватывающей более 100 000 Telegram-каналов и 100 даркнет-форумов. Это размер массива наблюдения, а не число площадок, где обнаружилась торговля ИИ-моделями.
В теме легко смешать три разных свидетельства: результат модели в контролируемом тесте, обещание продавца и расследование реальной атаки. Если разделить их, становится понятнее, что уже подтверждено и на какие риски стоит реагировать.
Четыре уровня доказательств: от теста до реальной атаки
Возможности модели в тестах
Anthropic сравнила GLM-5.3 с Claude Mythos Preview на задачах разработки эксплойтов. В ExploitBench модели получили успешный результат в 50 и 56 попытках из 410 соответственно. В отдельном тесте Binary Exploitation полный перехват потока выполнения составил 4% и 6%. Проверки проходили в изолированных средах, а модели Claude в этом сравнении тестировали с отключёнными защитными ограничениями. Результаты нельзя напрямую переносить на произвольные системы в интернете.
Интерес на форумах и в Telegram
Flare считала уникальные публикации с упоминанием модифицированных GLM, DeepSeek и Kimi. В 30-дневном окне до конца января 2026 года их было 11, а в окне до 16 октября — 93. Рост составляет около 745%, но начинается с небольшой базы и описывает сообщения, а не успешные взломы.
Предложения продавцов
За исследованный период Flare обнаружила 17 аккаунтов, продававших такой доступ в Telegram, и 11 аккаунтов на трёх специализированных форумах. К октябрю в одном 30-дневном окне активными были девять Telegram-аккаунтов. Аккаунты нельзя автоматически считать независимыми продавцами: один оператор может использовать несколько имён. Указанный в объявлении способ доступа также не доказывает, что продавец владеет весами модели.
Применение моделей в расследованных атаках
Здесь доказательная база конкретнее объявлений. Например, исследователи CrowdStrike обнаружили конфигурации агентного инструмента ARTEX и историю сессий на инфраструктуре оператора, атаковавшего южнокорейские финансовые организации. Основной моделью в изученной конфигурации была DeepSeek v4.1-flash; GLM-5.3 и Grok 4.6 использовались в дополнительных сессиях. Это подтверждает применение моделей в данной кампании, но не даёт оснований приписывать все её действия одной GLM-5.3.
«Прежде чем оценивать риск по громкому объявлению, выясните, что подтверждено: тест модели, продажа доступа или реальное применение в атаке».
Редакция SpeShu.AI
Что проверить в своей инфраструктуре
- Составьте список приложений, доступных из интернета.
- Проверьте версии этих приложений и установку исправлений.
- Найдите API-ключи и другие секреты в репозиториях, журналах и конфигурациях.
- Отзовите ключи, которые могли попасть к посторонним.
- Ограничьте права ИИ-агентов необходимыми файлами, сервисами и действиями.
- Изолируйте выполнение команд и согласовывайте действия с серьёзными последствиями.
- Проверьте журналы вызовов инструментов, не сохраняя в них секреты открытым текстом.
Что называют моделью «без ограничений»
В объявлениях uncensored обычно означает обещание, что модель не откажется выполнять запрос. Abliterated указывает на подход, при котором изменяют внутренние параметры модели, чтобы снизить частоту отказов. Для такой модификации нужен доступ к весам. Получить только ключ к закрытому API и изменить через него веса модели нельзя.
Даже если модель стала реже отказывать, это не означает, что она создаёт работающий код для любой задачи. Anthropic отдельно проверяла готовность GLM-5.3 отвечать на вредоносные запросы и способность доводить разработку эксплойта до результата. Это разные измерения.
Предложения на подпольном рынке тоже неоднородны. В части объявлений Flare увидела доступ через веб-панель или API-ключ; самостоятельное размещение весов упоминалось реже. Большинство собранных цен были ниже официальных тарифов соответствующих моделей, однако медианное предложение для GLM оказалось примерно в 2,6 раза выше выбранного официального ориентира. Flare рассматривает перепродажу ключей и использование чужой инфраструктуры как возможные объяснения цен. Само сравнение цен не устанавливает происхождение каждого предложения.
Что видно в расследованиях атак
В кампании против PaperCut NG/MF исследователи GreyNoise обнаружили применение сотен агентов. По их данным, были скомпрометированы не менее 440 экземпляров системы в 395 установленных организациях из 48 стран. В этой связке Codex служил программной оболочкой для работы агента, а языковой моделью была DeepSeek. GreyNoise отдельно указала, что модели OpenAI не использовались.
Sysdig описала операцию JADEPUFFER, которую оценила как управляемую LLM-агентом. Вредоносный сценарий зашифровал конфигурационные записи на рабочем сервере. По анализу Sysdig, ключ шифрования не сохранялся и не передавался оператору, поэтому выплата выкупа сама по себе не дала бы способа расшифровать эти данные. Возможность восстановления из резервной копии нужно оценивать отдельно.
Google Threat Intelligence Group также сообщала о предполагаемой активности UNC6508: на скомпрометированной облачной инфраструктуре разворачивали локальные модели. В таком сценарии злоумышленник использует вычислительные ресурсы пострадавшей стороны и обходится без наблюдения со стороны коммерческого API-провайдера.
Эти случаи показывают разные способы применения ИИ. Они не позволяют вычислить долю всех кибератак, в которых участвовали модели, или назвать одну модель причиной роста преступности.
Что осталось на уровне предположений
Flare приводит форумные инструкции и объявления, авторы которых обещают автоматизировать атаки с помощью модифицированной GLM-5.3. Наличие такой публикации подтверждает интерес к инструменту, но не успешность описанного сценария.
Исследователи также разобрали сервис, который собирал сведения о пакистанских государственных служащих из архивных материалов и данных утечек. В нём использовался чат на DeepSeek. Flare нашла признаки того, что отдельные части интерфейса могли создаваться с помощью ИИ, включая несогласованные требования к паролю и оставленную служебную заметку. Это косвенные признаки: они не устанавливают, каким способом было разработано всё приложение и насколько точны его выводы о людях.
Как заранее сохранить рабочие диалоги с ИИ
Промпты, черновики и обсуждения проектов часто остаются только в истории чата. Если доступ к аккаунту пропадёт, нужная переписка может оказаться недоступной. Выгрузку лучше сделать заранее и проверить полученный архив, пока вход в аккаунт работает.
Для подходящих личных аккаунтов ChatGPT путь на сайте выглядит так: Settings → Data controls → Export data. После подготовки архива приходит ссылка для скачивания. Самостоятельный экспорт через настройки недоступен для рабочих пространств Business, Enterprise и Healthcare; в них вопрос доступа к данным решается через владельца пространства.
В Claude индивидуальный пользователь может запросить выгрузку через Settings → Privacy → Export data в веб-версии или приложении для компьютера. Для Team и Enterprise доступность экспорта зависит от настроек организации. Скачанный архив стоит хранить в защищённом месте; важные вложения проверьте и при необходимости сохраните отдельно.
Сохраните важные диалоги до потери доступа
Проверьте, где хранятся ваши рабочие переписки с ИИ. Если экспорт доступен для вашего аккаунта, скачайте архив, убедитесь, что нужные разговоры в нём есть, и сохраните копию в защищённом месте. В SpeShu.AI можно работать с разными ИИ-моделями в одном сервисе. О запуске функции переноса диалогов из ChatGPT и Claude сообщим в блоге и отдельно объясним, как импортировать архив.
