微软在10月29日发布的威胁情报评估显示，AI在朝鲜关联网络行动中的作用已不止于试验：受评估的8个组织中，有3个被列为最高的“常态化应用”阶段。报告列举的用途包括招聘主题的目标接触、钓鱼文件制作和恶意代码相关工作。现有报道并未证明AI参与了同日发生的币安事件。112443

微软的四阶段评估

微软将观察到的AI采用情况分为四个阶段：初步探索、扩展、加速、常态化应用。最高阶段意味着AI已进入组织的日常工作流程，而非只用于个别、零散任务。11

报告列出的分级如下：

• 常态化应用： Jade Sleet、Coral Sleet、Jasper Sleet。
• 加速采用： Diamond Sleet、Onyx Sleet、Pearl Sleet、Sapphire Sleet。
• 扩展采用： Emerald Sleet。

这涵盖了全部8个受评估组织：3个处于常态化应用阶段，4个处于加速阶段，1个处于扩展阶段。微软公布的分级中，没有组织被列在初步探索阶段。739

报告中的行动案例

这些案例显示，AI是在加速既有做法，而不是取代人类、独立完成一整套攻击。微软称，Jade Sleet曾在一周内通过3家空壳公司开展以招聘为主题的活动；其中一家公司将自己包装成一家由AI驱动的区块链情报企业。2

相关报道还称，Coral Sleet疑似使用AI开发平台，向私人GitHub代码仓库植入木马。现有材料将Cursor列为疑似使用的工具，并未确认这一点。5

据报道，Onyx Sleet制作了100多份针对韩国用户、经过定制的PDF诱饵文件；其中一些批次在几分钟内生成，体现出AI加快定制内容制作的能力。18 另有报道指出，Onyx Sleet和Pearl Sleet曾在网络行动中使用开源的智能体渗透测试框架ARTEX。现有报道没有证明ARTEX脱离人类操作者独立行动。339

这些例子说明，AI可能帮助攻击者扩大角色设定、诱饵制作以及代码开发或调整等工作的规模。但现有报道没有量化这种提速是否带来了更高的攻击成功率。311

币安事件：报道确认了什么，又没有确认什么

另一份关于TRM Labs分析的报道指出，10月29日，币安钱包在10条区块链上约有63.6亿美元资金转出。大部分转移发生在约20分钟内，起始时间为世界协调时20:05，也就是美国东部夏令时下午4:05。43

据报道，TRM Labs以较高置信度将事件归因于朝鲜的TraderTraitor组织，Chainalysis也被报道持相同判断。币安的初步说法则指向一名可能遭入侵的DevOps工程师笔记本电脑；报道还称，当时没有证据显示钱包私钥泄露。另有报道提到约30亿美元受影响资产被冻结，但冻结不等于资金已返还给客户。42

这些说法的证据性质并不相同：归因是区块链分析机构的判断，币安关于笔记本电脑的解释则仍属初步调查结果。更重要的是，现有来源没有把报告所述的AI使用与币安事件联系起来。仅凭事件被归因于朝鲜关联组织，无法确定攻击者用了哪些工具，也不能说明AI是否影响了结果。4243

谨慎看待AI与攻击的关系

微软的评估描述了朝鲜关联网络组织中AI应用范围的扩大：8个组织中有3个被评为已将AI纳入日常工作流程。案例显示，AI可能让熟悉的活动执行得更快、规模更大；但这并不能证明黑客行动已实现自主化，也不能证明攻击成功率因此提高。币安事件则是另一项规模巨大的资金转移，分析机构将其归因于TraderTraitor；现有报道没有证明AI促成或导致了这起事件。1174243

微软在10月29日发布的威胁情报评估显示，AI在朝鲜关联网络行动中的作用已不止于试验：受评估的8个组织中，有3个被列为最高的“常态化应用”阶段。报告列举的用途包括招聘主题的目标接触、钓鱼文件制作和恶意代码相关工作。现有报道并未证明AI参与了同日发生的币安事件。112443

微软的四阶段评估

微软将观察到的AI采用情况分为四个阶段：初步探索、扩展、加速、常态化应用。最高阶段意味着AI已进入组织的日常工作流程，而非只用于个别、零散任务。11

报告列出的分级如下：

• 常态化应用： Jade Sleet、Coral Sleet、Jasper Sleet。
• 加速采用： Diamond Sleet、Onyx Sleet、Pearl Sleet、Sapphire Sleet。
• 扩展采用： Emerald Sleet。

这涵盖了全部8个受评估组织：3个处于常态化应用阶段，4个处于加速阶段，1个处于扩展阶段。微软公布的分级中，没有组织被列在初步探索阶段。739

报告中的行动案例

这些案例显示，AI是在加速既有做法，而不是取代人类、独立完成一整套攻击。微软称，Jade Sleet曾在一周内通过3家空壳公司开展以招聘为主题的活动；其中一家公司将自己包装成一家由AI驱动的区块链情报企业。2

相关报道还称，Coral Sleet疑似使用AI开发平台，向私人GitHub代码仓库植入木马。现有材料将Cursor列为疑似使用的工具，并未确认这一点。5

据报道，Onyx Sleet制作了100多份针对韩国用户、经过定制的PDF诱饵文件；其中一些批次在几分钟内生成，体现出AI加快定制内容制作的能力。18 另有报道指出，Onyx Sleet和Pearl Sleet曾在网络行动中使用开源的智能体渗透测试框架ARTEX。现有报道没有证明ARTEX脱离人类操作者独立行动。339

这些例子说明，AI可能帮助攻击者扩大角色设定、诱饵制作以及代码开发或调整等工作的规模。但现有报道没有量化这种提速是否带来了更高的攻击成功率。311

币安事件：报道确认了什么，又没有确认什么

另一份关于TRM Labs分析的报道指出，10月29日，币安钱包在10条区块链上约有63.6亿美元资金转出。大部分转移发生在约20分钟内，起始时间为世界协调时20:05，也就是美国东部夏令时下午4:05。43

据报道，TRM Labs以较高置信度将事件归因于朝鲜的TraderTraitor组织，Chainalysis也被报道持相同判断。币安的初步说法则指向一名可能遭入侵的DevOps工程师笔记本电脑；报道还称，当时没有证据显示钱包私钥泄露。另有报道提到约30亿美元受影响资产被冻结，但冻结不等于资金已返还给客户。42

这些说法的证据性质并不相同：归因是区块链分析机构的判断，币安关于笔记本电脑的解释则仍属初步调查结果。更重要的是，现有来源没有把报告所述的AI使用与币安事件联系起来。仅凭事件被归因于朝鲜关联组织，无法确定攻击者用了哪些工具，也不能说明AI是否影响了结果。4243

谨慎看待AI与攻击的关系

微软的评估描述了朝鲜关联网络组织中AI应用范围的扩大：8个组织中有3个被评为已将AI纳入日常工作流程。案例显示，AI可能让熟悉的活动执行得更快、规模更大；但这并不能证明黑客行动已实现自主化，也不能证明攻击成功率因此提高。币安事件则是另一项规模巨大的资金转移，分析机构将其归因于TraderTraitor；现有报道没有证明AI促成或导致了这起事件。1174243