北朝鮮サイバー集団「Kimsuky」がAIを本格導入

韓国のセキュリティ企業Geniansが2026年8月10日に発表した報告によると、北朝鮮のサイバースパイ集団「Kimsuky」がAI技術を攻撃作戦に組み込む動きを活発化させています。彼らはローカル環境で大規模言語モデル（LLM）を運用し、様々なAIツールを実験していることが確認されました。

Kimsukyは、AIを用いたマルウェア開発、データ分析、攻撃技術の高度化に向けた準備を着実に進めている。

具体的には、Ollama、GPT4All、MstyといったローカルLLM環境を構築・運用しているほか、AIコーディング支援ツールのCursorなどの実験も行っているとのことです（出典）。私自身も日常的にClaude Codeを使っているので、他のAIコーディングツールの動向は気になりますが、まさかサイバー攻撃に応用されるとは、正直ここまで来たかという感じです。

彼らがローカルLLM環境にこだわるのは、会話データが外部のAIサービスに送信されるのを防ぎ、外部への露出リスクを低減するためです。これは、国家支援型のアクターにとって非常に魅力的な選択肢と言えるでしょう（出典）。

AIを用いた巧妙な攻撃手法と情報収集

Kimsukyは、AIを使ってフィッシングメールの誘い文句（ルアー）をより洗練させています。特に、仮想資産や金融に関連するデコイ文書では、より自然な言語と洗練された構成、そして実際のビジネス資料と類似したフォーマットが用いられ、ユーザーの信頼性を高めて悪意のあるファイルの実行を誘発しています（出典）。

項目 従来の攻撃手法 AIを用いた攻撃手法
ルアーの内容 一般的な文書、会議依頼など 仮想資産、金融関連、より自然な表現
文書の質 偽装が見破られやすい場合も 高度に洗練され、本物と区別しにくい
データ保護 不明 ローカルLLMで外部送信リスクを低減

また、彼らはBase64エンコードや文字列分割、カスタムデコードルーチンといった様々な難読化技術を駆使して、悪意のあるファイルの挙動を隠蔽しています。感染したPCからは、OSバージョン、システム構成、PCタイプ、インストール履歴、実行中のプロセスリストなど、大量のシステム情報が収集され、その後の攻撃に利用されるとのことです。

Kimsukyは、Gitリポジトリをコマンド＆コントロール（C2）インフラとして利用しており、マルウェア開発やテスト、盗んだデータの管理、そしてAI技術の研究にも活用していることが確認されています。これは、AI技術が単なる実験段階を超え、実際の攻撃活動の中核に組み込まれていることを示唆していると感じます。GitHubがこうした用途に使われているのは、オープンソースを愛する開発者として少し複雑な気持ちになりますね。

収集されたAI関連技術と今後の懸念

Geniansの調査では、Kimsukyが大量のAI関連ライブラリやパッケージを収集していることも判明しました。具体的には、LLaMaSharpやMicrosoft.Extensions.AIといったローカルAI実行ライブラリ、そしてOpenAIやAzure.AI.OpenAIなどの商用AIサービス呼び出し用パッケージが含まれています。

開発コンポーネントが「ローカルAI実行 → 文書検索（RAG） → 自動エージェント → 外部AI連携」という広範囲にわたって収集されている事実は、単なる好奇心ではなく、特定の目的のためのAIベースツールの直接的な開発を示唆している。

さらに、OpenAIのWhisper音声認識モデルのような音声テキスト変換ツールのログも発見されており、マルチモーダルAIの活用も視野に入れている可能性が考えられます（出典）。

このような状況は、AIが単に便利なツールとしてだけでなく、悪意ある目的のために強力な武器として利用され始めている現実を突きつけています。以前、AIが自然界に存在しない新しいウイルスを16種類も生成したという研究結果もありましたが（参考）、AIの進化とセキュリティ対策のイタチごっこは、今後さらに加速していくのではないでしょうか。特に、私の自宅PCでもStable DiffusionやローカルLLMを動かしているので、このような攻撃手法の進化は他人事とは思えません。