Geniansは8月10日、北朝鮮系ハッキング組織として知られるKimsukyの最新の攻撃活動を分析した結果、生成AIを攻撃基盤全体に組み込むことを見据えた技術検証の兆候を確認したと発表した。ローカル大規模言語モデル（LLM）や検索拡張生成（RAG）、AI開発環境を構築した形跡も見つかったとしている。

同社によると、これまで確認されていた北朝鮮系攻撃グループのAI活用は、主に画像や音声の偽造、フィッシング用の誘導文書の作成など、攻撃準備段階に集中していた。これに対し今回の分析では、Kimsukyが単なる文書生成にとどまらず、ローカルLLMの実行環境やRAG環境を自ら構築し、AI開発環境を運用していた可能性を示す痕跡が確認されたという。

Geniansは、外部サービスにデータを送信せずに運用できるローカルLLMを使い、窃取した文書の分析や情報抽出、攻撃関連業務の自動化を試みていた可能性があるとみている。

具体的には、Ollama、GPT4All、MstyといったローカルLLMの実行・管理ツールのほか、RAG構成環境、AIエージェント開発フレームワーク、音声認識（STT）ツールを構築・活用した兆候が見つかった。Cursorのインストールや利用の痕跡も多数確認され、同ツール上で攻撃用文書を編集し、生成結果を確認していたとみられる記録もあった。

同社は、こうした動きについて、AIをマルウェア開発や攻撃の自動化に活用するための研究・技術検証が進んでいることを示す重要な事例だと位置付けている。

攻撃手法の高度化も確認された。従来は窃取した正規文書の再利用が中心だったが、最近では生成AIで作成したとみられる暗号資産や金融分野の文書を、スピアフィッシングの誘導材料として使っていたという。自然な文体で実務文書に近い体裁を整えることで、受信者の信頼を高め、悪性ファイルの実行を促す手口だとしている。

このほか分析では、暗号資産ウォレットの情報やGmailアカウント情報、Webサイトの登録履歴などをもとに、個人情報の漏えい有無を確認しようとした兆候も特定した。

Geniansセキュリティセンター長のムン・ジョンヒョン氏（理事）は、「国家の関与が疑われるハッキング組織が、AIを実際の攻撃体制に組み込むため、ローカルLLMやAI開発環境まで構築し、攻撃能力を高度化していることを示す事例だ」とコメントした。

そのうえで、AI技術の進展に伴いソーシャルエンジニアリング攻撃はさらに巧妙化するとの見方を示し、「文書の内容そのものより、実行行為を中心に検知するEDRベースの脅威ハンティング体制が重要になる」と強調した。