Microsoft Threat Intelligence, la unidad de la empresa dedicada a monitorear ciberamenazas, divulgó el 29 de octubre que ocho conjuntos de hackers asociados a Corea del Norte incorporan inteligencia artificial en sus acciones. El uso de IA abarca desde la investigación de víctimas y la generación de mensajes falsos hasta la creación de herramientas de ataque, y la firma describe el grado de dependencia de estas herramientas como “alto” en el conjunto.
La firma clasificó a estos grupos en cuatro fases distintas. Tres de ellos —Jade Sleet, Coral Sleet y Jasper Sleet— integran IA en toda su labor. Otros cuatro, Diamond Sleet, Onyx Sleet, Pearl Sleet y Sapphire Sleet, están en una fase de aceleración. Emerald Sleet hace un uso más restringido. Ninguno está ubicado en las etapas inicial o experimental, subraya la empresa.
Según el informe, las operaciones siguen estando dirigidas por humanos y no funcionan de forma autónoma. En todos los casos, la IA respalda objetivos históricos: obtener recursos para el régimen, recolectar información estratégica y, en ciertos escenarios, causar daño. Entre los blancos habituales figuran firmas de criptomonedas y entidades financieras.
Entre el 8 y el 12 de junio, Jade Sleet se hizo pasar por reclutador de una supuesta firma dedicada a la inteligencia sobre blockchain (la tecnología que registra transacciones cripto). Contactó a perfiles de ciberseguridad, IA y reclutamiento y repitió la maniobra con otras dos empresas falsas con infraestructura similar. Microsoft atribuyó esa rapidez al uso de IA generativa.
Onyx Sleet elaboró más de 100 archivos PDF con señuelos entre agosto y septiembre, orientados a usuarios surcoreanos. Los metadatos revelaron generación de decenas de archivos en minutos, lo que la firma atribuye, con alta probabilidad, a una plataforma de IA. Esa producción en cadena dificulta la detección.
Coral Sleet, desde abril, emplea un método para comprometer repositorios privados en GitHub, capacidad que, según Microsoft, se fortaleció gracias a una herramienta de programación con IA. Sapphire Sleet también habría utilizado IA en el ataque de agosto contra desarrolladores del lenguaje Rust. Además, Onyx Sleet y Pearl Sleet recurren a ARTEX, una herramienta de código abierto para pruebas de intrusión que incorpora IA.
En abril, Expel describió HexagonalRodent, grupo atribuido a Corea del Norte. Sus programas maliciosos habrían obtenido datos de 26.584 billeteras de criptomonedas en 2.726 equipos de desarrolladores, con un valor de hasta 12 millones de USD entre el 1 de enero y el 31 de marzo de 2026. Expel señaló que no pudo confirmar si el dinero fue retirado, ya que algunas billeteras pueden estar protegidas por llaves físicas. El grupo ofrecía empleos falsos a programadores y les enviaba una prueba técnica infectada; se detectó el uso de ChatGPT y Cursor, una herramienta de programación con IA, y textos expuestos que sirvieron para generar código.
Marcus Hutchins, investigador de Expel y signatario del informe, comentó a Wired sobre los hallazgos y las implicancias de estas capacidades de IA para grupos norcoreanos.
