Північна Корея: Microsoft виміряла для кожної групи, наскільки глибоко ШІ увійшов у ремесло атакувальників

29 жовтня 2026 року Microsoft Threat Intelligence опублікувала в Microsoft Security Blog звіт «Tracking AI adoption in North Korean threat actor tradecraft». У документі розглянуто вісім груп, які компанія приписує Північній Кореї і, згідно зі своєю таксономією для таких акторів, називає іменами зі словом «Sleet». Загальний рівень впровадження ШІ оцінено як «високий» за чотириступеневою шкалою. На найпросунутішу стадію, «operationalized», коли ШІ вбудований у рутинні операції, Microsoft відносить Jade Sleet, Coral Sleet і Jasper Sleet. Diamond Sleet, Onyx Sleet, Pearl Sleet і Sapphire Sleet перебувають на стадії «accelerating», Emerald Sleet — на стадії «expanding». Жодна група не залишилася на початковій стадії, «emerging». За словами компанії, цілі не змінилися: отримання доходів, збір стратегічних розвідданих і в окремих випадках проведення руйнівних операцій.

Описані епізоди надають цій шкалі конкретності. Microsoft повідомляє, що з 8 по 12 червня Jade Sleet проводила атаки з тематикою найму через три підставні компанії, видаючи себе за рекрутерів неіснуючої компанії у сфері блокчейн-аналітики на основі ШІ. За матеріалом SBS, де групу не названо, фальшиві вакансії були адресовані фахівцям у галузях ШІ, блокчейну та кібербезпеки. Із серпня по вересень Onyx Sleet, за даними звіту, підготувала понад сто PDF-приманок для південнокорейських користувачів, кожна з деталями, підібраними під конкретну ціль, — десятками за раз упродовж кількох хвилин. Microsoft вважає, що їх, імовірно, створено за допомогою ШІ. Із квітня 2026 року Coral Sleet, за наявними даними, використовує робочий процес для впровадження троянів у приватні репозиторії GitHub, імовірно, за допомогою платформи розробки на основі ШІ. Компанія також вважає ймовірним, що Sapphire Sleet застосовувала ШІ під час компрометації програмного забезпечення на Rust у серпні 2026 року. Найновіша знахідка стосується ARTEX — фреймворку з відкритим кодом для тестування на проникнення на основі агентного ШІ, який, згідно зі звітом, Onyx Sleet і Pearl Sleet використовують у своїх операціях. SBS відносить початок цього використання до кінця жовтня, тобто майже до моменту публікації. Щодо Emerald Sleet Microsoft вказує на можливе використання синтетичного голосу й відео, але оцінює операційний вплив як непевний.

Окрім окремих випадків, звіт перелічує повторювані способи застосування: розвідку щодо організацій, працівників, криптогаманців і хмарних сервісів; персоналізовані фішингові, рекрутингові та інвестиційні приманки з перекладом і підлаштуванням тону; фальшиві особи, резюме та відповіді на співбесідах; генерування, налагодження й рефакторинг коду, зокрема за допомогою платформи Cursor; узагальнення викраденої інформації. Ще 6 березня 2026 року звіт Microsoft, про який писав CyberScoop, описував використання генеративного ШІ групою Jasper Sleet у схемах із фальшивими віддаленими IT-працівниками. Також у березні Microsoft назвала ШІ множником сили для атакувальників. Новий документ окреслює й межу, власними словами: «AI-enabled operations remain human-directed and have not become fully autonomous», тобто операціями із застосуванням ШІ й далі керують люди, і повністю автономними вони не стали. Серед рекомендацій — суворіша перевірка кандидатів під час найму: підтвердження особи та рекомендацій, пошук дубльованих особистостей, підтвердження присутності на відео та справжніх номерів телефонів. Далі йдуть захист від фішингу, управління експозицією та врядування ШІ.

Усе це слід сприймати таким, яким воно є. Прив'язка до груп і висновки про використання ШІ — це оцінки Microsoft, часто із застереженням «імовірно», а окремі епізоди не пройшли незалежної перевірки. У звіті не вказано, які комерційні моделі використовувалися, за винятком Cursor. Впадає в око щось менш видовищне, ніж автономна атака, і більш уперте. ШІ не вигадав нових цілей: радше він робить гонитву за старими швидшою й дешевшою — десятки персоналізованих приманок за кілька хвилин або співбесіда, яку проходить неіснуючий кандидат. Тому найпромовистіша рекомендація водночас і найдавніша: попросити людину ввімкнути камеру.

— Olya