微软威胁情报部门（Microsoft Threat Intelligence）监测到，与朝鲜相关的网络威胁组织在采用人工智能技术方面出现了显著扩张，旨在提高其网络攻击的速度、效率和复杂性。这些组织将人工智能作为一种作战力量倍增器，特别是用于加速和扩大长期存在的钓鱼和渗透工程工作流程。目前，这些行动尚未达到完全自主的阶段，仍受持续的人类管理和指导。
微软将这些组织采用人工智能的水平分为多个阶段，从新兴、扩展到高级和完全运营化（Operationalized）。监测显示，Jade Sleet、Coral Sleet 和 Jasper Sleet 等组织已将人工智能完全整合到其日常运营中，包括基于身份冒充和针对技术及金融目标的精准社交工程攻击。
人工智能的运营部署阶段
朝鲜组织在攻击的各个阶段都依赖人工智能技术，从目标侦察和信息收集，到内容生成和恶意软件开发。在此背景下，Onyx Sleet 和 Pearl Sleet 等组织被发现正在使用开源人工智能代理框架（如渗透测试框架 ARTEX）来执行其行动，这反映了它们在现代技术发布后迅速采用的响应速度。
此外，这些组织还使用 Cursor 等人工智能辅助开发工具来生成、转换、调试和重构恶意代码。这使得一些组织能够加速软件开发，并通过快速适应检测机制来绕过现代安全系统实施的封锁和防御措施。
攻击性质的实际变化
报告监测到的最显著转变是这些实体扩大破坏性行动规模并以空前速度诱骗受害者的能力。其中突出的手段包括：
- 加速对目标机构的事先侦察，提取员工详细信息，以撰写极具说服力的定制化钓鱼和渗透信息。
- 利用自动生成工具在几分钟内生成数十份 PDF 文件和指南，以发动大规模钓鱼攻击。
- 构建完整的虚假数字身份和伪造简历，以支持在科技公司和金融机构的渗透和远程工作行动，从而获取服务于朝鲜政权的经济收益。
- 开发恶意软件能力，例如利用 .NET 代码的动态编译技术来逃避安全监测。
保护与应对措施
面对这些不断演变的威胁，微软呼吁各机构通过启用内置保护工具（如人工智能安全仪表板 Security Dashboard for AI 和人工智能代理管理平台 Agent 365）来加强网络防御策略。此外，还应实施漏洞管理政策，在终端保护套件中启用自动监控，并在招聘申请人时执行严格的验证程序，仔细评估其技术和数字背景，以防止通过中介公司进行渗透。