Hakerzy powiązani z Koreą Północną korzystają z AI szerzej, niż pokazywały wcześniejsze raporty. Microsoft Threat Intelligence opublikował 29 października 2026 roku ocenę ośmiu grup. Trzy z nich, Jade Sleet, Coral Sleet i Jasper Sleet, mają AI wbudowaną w codzienne operacje, a cztery kolejne szybko ją wdrażają. Narzędzia AI służą im głównie do przyspieszania znanych metod, takich jak fałszywe oferty pracy, spersonalizowany phishing i podszywanie się pod pracowników IT. Według Microsoftu ataki wciąż prowadzą ludzie, a w pełni autonomicznych operacji nie stwierdzono.
Co wykazał raport Microsoftu o Korei Północnej
Raport „Tracking AI adoption in North Korean threat actor tradecraft” przygotował zespół Microsoft Threat Intelligence. Firma oceniła w nim grupy, które uznaje za najgroźniejsze wśród hakerów powiązanych z Koreą Północną, i przypisała je do czterech etapów: początkowego, rozszerzania, przyspieszania i pełnego wdrożenia (ang. operationalized).
Ogólny poziom wykorzystania AI przez te grupy Microsoft ocenia jako wysoki. Firma pisze jednak wprost, że operacje z użyciem AI „remain human-directed”, czyli nadal kierują nimi ludzie. AI skraca przygotowanie ataku i pozwala prowadzić więcej kampanii jednocześnie, ale cele grup pozostają te same, czyli kradzież pieniędzy, kryptowalut i informacji.
- Pełne wdrożenie - Jade Sleet, Coral Sleet, Jasper Sleet.
- Przyspieszanie - Diamond Sleet, Onyx Sleet, Pearl Sleet, Sapphire Sleet.
- Rozszerzanie - Emerald Sleet.
- Etap początkowy - według Microsoftu żadna z ocenianych grup.
Jak grupy wykorzystują AI w atakach
Najwięcej przykładów dotyczy socjotechniki, czyli manipulowania ludźmi. Jade Sleet między 8 a 12 czerwca 2026 roku prowadziła kampanię z ofertami pracy przez trzy firmy-wydmuszki, podszywając się pod rekruterów rzekomej firmy analizującej blockchain z pomocą AI. Onyx Sleet przygotowała w sierpniu i wrześniu ponad 100 plików PDF z danymi dopasowanymi do konkretnych osób i kierowała je głównie do użytkowników w Korei Południowej.
Jasper Sleet to grupa znana z podszywania się pod zdalnych pracowników IT. Według Microsoftu w ciągu ostatniego roku zaczęła używać generatywnej i agentowej AI do pisania życiorysów, budowania fałszywych profili i obsługi wielu tożsamości jednocześnie. Emerald Sleet mogła sięgać po głos i obraz wygenerowane przez AI, choć Microsoft nie ocenia jeszcze skutków tych działań.
Część grup używa AI przy pisaniu złośliwego oprogramowania. Microsoft wskazuje, że Jade Sleet, Coral Sleet, Pearl Sleet i Sapphire Sleet prawdopodobnie korzystały z edytora kodu Cursor. Onyx Sleet i Pearl Sleet używają też otwartoźródłowego agenta do testów penetracyjnych Artex, w przypadku Pearl Sleet od końca października 2026 roku. Raport nie podaje szczegółów technicznych, które pozwalałyby odtworzyć te ataki, i my również ich nie opisujemy.
Czego raport nie mówi
Raport nie opisuje nowych blokad kont ani przejęcia infrastruktury napastników. Microsoft ogranicza się do profili grup w usłudze Defender, reguł wykrywania i zaleceń dla obrońców. Nie podaje też liczby ofiar ani strat finansowych.
Część mediów, m.in. serwisy kryptowalutowe, łączy raport z kradzieżą kryptowalut z giełdy Binance z października. Microsoft nie wiąże jednak tego włamania z użyciem AI. Ocena etapów wdrażania AI jest analizą jednej firmy na podstawie jej danych telemetrycznych, a nie niezależnym badaniem.
Co to oznacza dla polskich firm
Najbardziej praktyczny wniosek dotyczy rekrutacji. Polskie firmy technologiczne i software house'y często zatrudniają programistów zdalnie, także przez pośredników. Kandydat z dopracowanym życiorysem i spójnym profilem w sieci nie musi być tym, za kogo się podaje, bo AI obniża koszt przygotowania takiej tożsamości.
Drugi obszar to oferty pracy kierowane do pracowników firm. Grupy z Korei Północnej od lat celują w osoby z branży kryptowalut, AI i cyberbezpieczeństwa. Wiadomość od rekrutera z dobrze napisanym opisem stanowiska i załącznikiem PDF nie jest już sygnałem wiarygodności. Poniższa lista opiera się na zaleceniach Microsoftu.
- Przy rekrutacji zdalnej wymagaj rozmowy wideo z włączoną kamerą i sprawdź, czy dane kandydata, numer telefonu i historia zatrudnienia są spójne.
- Weryfikuj kandydatów od firm pośredniczących tak samo jak tych zatrudnianych bezpośrednio i szukaj powtarzających się profili.
- Ucz pracowników zgłaszania nieoczekiwanych ofert pracy i załączników od nieznanych rekruterów.
- Włącz ochronę poczty przed złośliwymi linkami i załącznikami oraz automatyczne łatanie systemów dostępnych z internetu.
- Ogranicz uprawnienia nowych pracowników i kontraktorów do repozytoriów kodu do niezbędnego minimum.
Szerszy obraz
Raport wpisuje się w serię październikowych doniesień o AI po stronie napastników. Microsoft już 21 października wskazał agenta Artex we włamaniu przez usługę ConnectWise, a wcześniej ślady tego narzędzia znaleziono w atakach na banki w Korei Południowej. W naszej ocenie najważniejsza zmiana nie polega na nowych technikach, tylko na skali. To, co wcześniej wymagało tygodni pracy zespołu, grupy przygotowują teraz w godziny, więc obrona musi szybciej wykrywać powtarzalne wzorce zamiast pojedynczych prób.
Źródła i data sprawdzenia
- Tracking AI adoption in North Korean threat actor tradecraftMicrosoft Threat Intelligence, publikacja: 2026-10-29, sprawdzono: 2026-11-02
- North Korean Threat Actors Accelerate Attacks With AISecurityOnline, publikacja: 2026-11-02, sprawdzono: 2026-11-02
- Jasper Sleet: North Korean remote IT workers' evolving tactics to infiltrate organizationsMicrosoft Threat Intelligence, publikacja: 2025-06-30, sprawdzono: 2026-11-02
Artykuł ma charakter informacyjny. Przy decyzjach prawnych, finansowych lub organizacyjnych warto zweryfikować wnioski w odniesieniu do konkretnej sytuacji.
