![AIを活用した攻撃のフローチャート[写真=ジニアンスセキュリティセンター]](https://image.ajunews.com/content/image/2026/08/10/20260810105054673660.png)
北朝鮮のハッキング組織『キムスキー（Kimsuky）』が生成型人工知能（AI）の活用範囲を、単なるフィッシング資料の作成から、情報分析や攻撃の自動化へと拡大しようとしている。外部サービスに依存せず、独自のローカル大規模言語モデル（LLM）環境を構築したことも確認された。
10日、サイバーセキュリティ専門企業ジニアンスが公開した北朝鮮の情報総局傘下のハッキング組織キムスキーの最新の攻撃活動分析によれば、キムスキーの活動過程でOllamaやGPT4All、MstyなどのローカルLLM実行・管理ツールが発見された。検索強化生成（RAG）環境やAIエージェント開発フレームワーク、音声認識ツールを構築または活用した痕跡も確認された。
AIベースのコードエディタであるカーソル（Cursor）を使用した記録も多数確認された。攻撃に使用する文書を編集し、AIが生成した結果物を検討する過程でこのツールが利用された可能性が指摘されている。
従来の北朝鮮のハッキング組織のAI活用は、偽造画像や音声の制作、フィッシング文句の作成など、攻撃準備の段階に主にとどまっていた。しかし、今回は外部AIサービスにデータを渡さず、独自に運用できるローカルLLMとRAG環境を直接構築したことが確認された。盗取した文書を分析し、必要な情報を抽出したり、反復的な攻撃業務を自動化するための技術検証が進められていると分析されている。
過去、キムスキーは専門家や機関関係者を装って悪性文書やリンクを送信することに集中していたが、今回確認されたローカルLLMとRAG環境は、情報分析と攻撃準備を自動化し、攻撃の速度と規模を拡大しようとする試みと解釈される。
また、外部AIサービスにデータを渡さず、独自環境で盗取した文書を検索・要約できる点から、ターゲット別の情報分析とカスタマイズされたフィッシング資料作成の効率を高めようとする意図が読み取れる。
攻撃に使用される罠も一層精巧化している。過去には盗取した正常文書を再利用する方法が多かったが、最近では生成型AIで作成されたと推定される仮想資産投資報告書や金融資料がスピアフィッシングに利用されていることが確認された。
自然な文体と実際の業務資料に近い形式を持ち、利用者の警戒心を低下させ、その後添付された悪性ファイルを実行させてアカウントや個人情報を盗取する手法である。
特に仮想資産分野が主要な攻撃対象として浮上している。攻撃者は仮想資産のウォレット情報やGmailアカウント、ウェブサイトの登録記録など、個人の金融・オンライン活動情報を確認しようとしていると分析されている。
文宗賢ジニアンスセキュリティセンター長は「国家背後のハッキング組織がAIを実際の攻撃体系に組み込むためにローカルLLMやAI開発環境を構築し、攻撃能力を高度化している」と述べ、「文書内容よりも実行行為を中心に検出するエンドポイント検出・対応（EDR）基盤の脅威ハンティング体系が重要である」と強調した。
一方、ジニアンスセキュリティセンターは今回の分析結果を韓国インターネット振興院（KISA）脅威インテリジェンスネットワーク協議体を含む国内外の協力機関と共有している。
* この記事はAIによって翻訳されました。
