微软表示，三个朝鲜黑客组织现已将人工智能整合进其日常攻击行动，达到该公司评估体系中的最高级别。微软（NASDAQ: MSFT）将朝鲜在黑客攻击中对AI的整体应用评级为“高”。

这一结论发布之际，朝鲜正因史上最大的加密货币盗窃案——63.6亿美元的Binance被盗事件——而面临指责。

朝鲜黑客如何使用AI

在周四发布的一份报告中，微软威胁情报部门将朝鲜八个最活跃的黑客组织按四级标准进行排名：萌芽（emerging）、扩展（expanding）、加速（accelerating）和实战化（operationalized）。最高级别“实战化”意味着AI已嵌入该组织的全部运营之中。

Jade Sleet、Coral Sleet和Jasper Sleet位居最高级别，而Diamond Sleet、Onyx Sleet、Pearl Sleet和Sapphire Sleet处于加速级别。Emerald Sleet处于扩展级别，目前没有组织处于萌芽级别。这些“Sleet”代号是微软对受朝鲜国家支持的行为者的命名，属于厂商专属的命名体系，其他安全公司对同一组织使用各自的标签。

微软将排名与具体活动挂钩。Jade Sleet在一周内通过三家虚假公司开展行动。Coral Sleet找到了在私有代码存储库中植入恶意软件的方法。Onyx Sleet在几分钟内生成了数十条定制钓鱼信息。Diamond Sleet利用AI制造虚假人物和幌子公司以欺骗目标。据报道，其中一个组织在8月和9月制作了100多个针对韩国用户的定制PDF诱饵——这类工作过去每个目标需要数天时间。

这些组织还使用了AI编程工具。据微软称，操作人员使用Cursor等广泛使用的AI代码编辑器来编写代码、修复错误并构建规避检测的方法。Onyx Sleet和Pearl Sleet使用了ARTEX，这是一款用于测试系统弱点的开源工具，可以连接到AI模型并被指示自主侦察目标。据报道，与中国有关联的组织Storm-0940曾利用ARTEX攻击ConnectWise。

微软的分析师认为，朝鲜的黑客行动仍主要由人工主导，AI只是用来加快这些组织已在执行的工作，例如侦察目标、制作钓鱼内容和维持虚假身份。

微软表示，加密货币交易所和金融机构是朝鲜网络行动最常见的目标之一，因为这些行动的主要目的是为政权筹集资金并收集情报。这一重点与TRM Labs的研究相吻合，该研究发现朝鲜仅通过两次攻击就窃取了2026年全部加密黑客攻击价值的76%。

AI是否参与了Binance被盗事件？

到目前为止，尚无证据表明Binance被盗事件的攻击者使用了AI，微软的报告也未将该盗窃事件与任何AI技术联系起来。

被称为史上最大加密货币盗窃案的Binance被盗事件发生于10月29日。区块链研究公司TRM Labs表示，攻击者从Binance钱包中转出约63.6亿美元，分散至十条区块链，其中大部分在约20分钟内完成转移。TRM在一篇博文中将此次攻击归因于TraderTraitor——该公司称之为朝鲜的精英黑客组织，即微软追踪的Jade Sleet——并表示对这一结论有高度把握。Chainalysis联合创始人Jonathan Levin在X上也得出了相同的结论。

根据Cryptopolitan的报道，Binance自己对事件的说明概述了攻击者的入侵方式，但未说明他们使用了什么工具。该交易所最初表示，一台被入侵的工程师笔记本电脑似乎是入口点，但后续调查发现了更多“入侵点”。

Binance已冻结约30亿美元的被盗资金，暂停了提现，并承诺弥补用户损失。由于该交易所的说明未涉及攻击者的工具，随着调查的继续，AI是否在此次盗窃中发挥了任何作用仍是未解之谜。