Microsoft mapeia adoção avançada de IA generativa por grupos de hackers norte-coreanos
Um relatório da Microsoft Threat Intelligence detalha como vários grupos de ameaça ligados à Coreia do Norte — Jade Sleet, Coral Sleet, Sapphire Sleet, Pearl Sleet, Onyx Sleet e Jasper Sleet — já incorporaram IA generativa em praticamente toda a cadeia de ataque, do reconhecimento à produção de malware. A Microsoft classifica a adoção desses grupos como 'alta', citando uso de ferramentas como Cursor para gerar e refatorar código, mais de 100 PDFs de isca personalizados criados em minutos por um dos grupos, e emprego do framework agentivo de pentest ARTEX em operações desde outubro de 2026. O caso mostra IA sendo usada como ferramenta pelo atacante em múltiplas etapas de campanhas reais, não como tecnologia hipotética.
O relatório da Microsoft organiza a adoção de IA por ameaças norte-coreanas em quatro estágios — emergente, expansão, acelerando e operacionalizado — e posiciona os grupos mais ativos (Jade Sleet, Coral Sleet e Jasper Sleet) no estágio mais maduro, onde a IA já faz parte do fluxo de trabalho rotineiro das operações, e não apenas de experimentos isolados. Isso é relevante porque desloca o debate sobre 'IA ofensiva' de um cenário futuro para um padrão já observado em campanhas atribuídas a atores patrocinados por Estado.
No nível técnico, o uso se espalha por praticamente todas as fases do ataque. Para reconhecimento, os grupos usam modelos generativos para pesquisar organizações, funcionários e vulnerabilidades em produtos de segurança, acelerando a etapa que tradicionalmente consumia mais tempo humano. Para engenharia social, a IA gera iscas de phishing, currículos e personas falsas em escala, altera fotos de perfil, voz e vídeo, e sustenta múltiplas identidades de 'trabalhadores remotos' fraudulentos simultaneamente — o Onyx Sleet chegou a produzir mais de 100 PDFs de isca com dados específicos de alvos em poucos minutos. Para desenvolvimento de malware, grupos como Sapphire Sleet e Coral Sleet usam assistentes de codificação como o Cursor para gerar, depurar e refatorar payloads, com o Sapphire Sleet demonstrando compilação dinâmica em .NET para evasão de defesas em um comprometimento de agosto de 2026, e o Coral Sleet automatizando a trojanização de repositórios privados do GitHub.
O ponto mais sensível talvez seja o uso do ARTEX, um framework agentivo de pentest de código aberto, por Onyx Sleet e Pearl Sleet desde outubro de 2026: isso indica que ferramentas pensadas para automatizar testes de segurança ofensivos legítimos estão sendo reaproveitadas diretamente como arma por atores estatais, reduzindo a barreira técnica para operações antes reservadas a equipes mais especializadas.
Na prática, o impacto é duplo. Primeiro, a velocidade: a Microsoft cita um exemplo de direcionamento temático de vagas de emprego por três empresas de fachada do Jade Sleet em apenas uma semana, uma cadência que depende de automação para reconhecimento e criação de personas. Segundo, a escala e a qualidade: malware gerado com assistência de IA tende a variar mais entre amostras, dificultando detecção baseada em assinatura, enquanto personas sintéticas mais convincentes elevam o risco de fraude de contratação remota e de engenharia social contra equipes de RH e recrutamento. Para defensores, isso reforça a necessidade de detecção comportamental em vez de assinaturas estáticas e de processos de verificação de identidade mais rígidos para contratação remota.