微軟表示，三個北韓駭客組織已將人工智慧納入日常攻擊行動，達到該公司評估標準的最高等級。微軟（NASDAQ: MSFT）將北韓在駭客攻擊中對AI的整體運用評為「高」。

這項發現公布之際，北韓正面臨史上最大規模加密貨幣竊案——金額達63.6億美元的Binance駭客事件——的指控。

北韓駭客如何使用AI

在週四發布的報告中，微軟威脅情報團隊以四個等級評比北韓最活躍的八個駭客組織：萌芽、擴張、加速與實戰化。「實戰化」為最高等級，代表AI已融入該組織的整體行動。

Jade Sleet、Coral Sleet與Jasper Sleet位居最高等級，Diamond Sleet、Onyx Sleet、Pearl Sleet與Sapphire Sleet則處於加速等級。Emerald Sleet位於擴張等級，目前沒有組織處於萌芽等級。「Sleet」系列名稱是微軟對北韓國家支援駭客的命名，屬於各家資安廠商對同一批單位採用各自標籤的廠商命名體系。

微軟將評比與具體活動掛鉤。Jade Sleet在一週內透過三家假公司發動攻擊行動。Coral Sleet找到在私有程式碼儲存庫植入惡意軟體的方法。Onyx Sleet在幾分鐘內產出數十封客製化網釣訊息。Diamond Sleet利用AI打造假人物與掩護公司以欺騙目標。據報導，某組織在八月至九月間製作了超過100份針對南韓使用者的客製化PDF誘餌——這類工作過去每個目標需耗時數天。

這些組織也使用AI程式編寫工具。微軟表示，其操作人員使用Cursor這類廣泛使用的AI程式編輯器等工具來撰寫程式碼、修正錯誤，並建立躲避偵測的方法。Onyx Sleet與Pearl Sleet使用ARTEX，這是一款測試系統弱點的開源工具，可連接AI模型並指示其自主偵察目標。據報導，與中國有關聯的組織Storm-0940曾利用ARTEX攻擊ConnectWise。

微軟的分析師認為，北韓的駭客行動仍主要由人類主導，AI只是用來加速組織既有工作，例如偵察目標、製作網釣內容以及維持假身分的運作。

微軟表示，加密貨幣交易所與金融機構是北韓網路行動最常見的目標之一，因為這些行動的主要目的是為政權籌募資金並蒐集情報。這項重點與TRM Labs的研究相符，該研究發現北韓在2026年僅憑兩起攻擊就竊取了全部加密貨幣駭客竊案金額的76%。

AI是否涉入Binance駭客事件？

截至目前，尚無證據顯示Binance駭客事件的攻擊者使用了AI，微軟的報告也未將該竊案與任何AI技術連結。

這起被稱為史上最大規模加密貨幣竊案的Binance駭客事件發生於10月29日。區塊鏈研究公司TRM Labs表示，攻擊者將約63.6億美元從Binance錢包轉移至十條區塊鏈，其中大部分在約20分鐘內完成。TRM在部落格文章中將攻擊歸因於TraderTraitor——該公司稱之為北韓的菁英駭客單位，即微軟追蹤的Jade Sleet——並表示對此結論有高度信心。Chainalysis共同創辦人Jonathan Levin也在X上得出相同結論。

根據Cryptopolitan的報導，Binance自身對事件的說明概述了攻擊者的入侵途徑，但未說明其使用的工具。該交易所最初表示，一名遭駭工程師的筆記型電腦疑似入侵入口，但後續調查發現了更多「入侵點」。

Binance已凍結約30億美元的被竊資金、暫停提款，並承諾彌補用戶損失。由於該交易所的說明未觸及攻擊者的工具，隨著調查持續進行，AI是否在竊案中扮演任何角色仍是未解之谜。