マイクロソフトの脅威インテリジェンス部門（Microsoft Threat Intelligence）は、北朝鮮に関連するサイバー脅威グループが、サイバー攻撃の速度、効率、複雑さを高めるためにAI技術の採用を拡大していることを確認した。これらのグループは、AIを運用上の戦力倍増ツールとして活用しており、特にフィッシングやソーシャルエンジニアリングといった長年行われてきたワークフローを加速・拡大させている。ただし、これらの操作は現時点では完全な自律段階には達しておらず、継続的な人間の管理と指示の下にある。
マイクロソフトは、これらのグループによるAI採用レベルを、初期段階、拡大段階、そして高度な完全運用段階（Operationalized）といった複数のフェーズに分類している。追跡調査によると、Jade Sleet、Coral Sleet、Jasper Sleetといったグループは、AIを日々の運用に完全に統合しており、これにはなりすまし攻撃や、技術的・経済的なターゲットを正確に狙ったソーシャルエンジニアリングが含まれている。
AI運用の段階
北朝鮮のグループは、ターゲットの偵察や情報収集から、コンテンツ生成、マルウェア開発に至るまで、攻撃のあらゆる段階でAI技術を活用している。この文脈において、Onyx SleetやPearl Sleetといったグループが、ペネトレーションテストフレームワーク「ARTEX」のようなオープンソースのAIエージェントフレームワークを使用して作戦を実行している様子が確認されており、最新技術が利用可能になると即座に採用する対応の速さが浮き彫りになっている。
さらに、これらのグループは、CursorプラットフォームのようなAI支援開発ツールを使用して、悪意のあるコードの生成、変換、デバッグ、再構築を行っている。これにより、一部のグループはソフトウェア開発を加速させ、最新のセキュリティシステムが課す防御策を回避し、検知メカニズムに迅速に適応することが可能になっている。
攻撃の性質における実質的な変化
レポートが指摘する最も顕著な変化は、これらの組織が破壊的な作戦の規模を拡大し、かつてない速度で被害者を誘い込む能力である。注目すべき手法には以下が含まれる：
- ターゲットとなる組織に関する事前の偵察を加速させ、従業員に関する詳細情報を抽出することで、説得力の高いカスタマイズされたフィッシングやハッキングメッセージを作成する。
- 自動生成ツールを使用して、数分以内に数十ものPDFファイルやガイドを作成し、大規模なフィッシングキャンペーンを展開する。
- 完全な偽のデジタルアイデンティティや履歴書を作成し、技術企業や金融機関への潜入やリモートワークを支援することで、北朝鮮の体制に利益をもたらす資金を獲得する。
- .NETコードの動的コンパイル技術を採用するなど、セキュリティ検知を回避するためのマルウェア機能を開発する。
保護と対策
こうした高度な脅威に直面し、マイクロソフトは企業に対し、サイバー防御戦略を強化するよう呼びかけている。具体的には、AIセキュリティダッシュボード（Security Dashboard for AI）やAIエージェント管理プラットフォーム（Agent 365）などの統合保護ツールの活用、脆弱性管理ポリシーの適用、エンドポイント保護パッケージにおける自動監視の有効化などが挙げられる。また、求職者の採用時には厳格な検証手続きを行い、中間企業を通じた潜入を防ぐために技術的・デジタル的な経歴を正確に評価することが重要である。