Selon Microsoft, huit groupes de pirates nord-coréens utilisent désormais l'IA dans toutes leurs opérations, toujours pilotées par des humains

Microsoft Threat Intelligence a publié le 29 octobre un rapport qui détaille l'usage de l'intelligence artificielle par huit groupes de pirates liés à l'État nord-coréen. Sa conclusion générale : l'adoption de l'IA par le pays est élevée, mais les opérations « restent dirigées par des humains » et ne sont pas devenues entièrement autonomes.

Une échelle en quatre niveaux

Microsoft classe les groupes selon le degré d'intégration de l'IA dans leur travail. Jade Sleet, Coral Sleet et Jasper Sleet l'ont « opérationnalisée » : elle fait partie de leurs méthodes courantes. Diamond Sleet, Onyx Sleet, Pearl Sleet et Sapphire Sleet sont en phase d'accélération, avec une adoption rapide dans plusieurs fonctions. Emerald Sleet ne s'en sert que pour certaines activités. Aucun groupe n'a été placé au niveau le plus bas, celui de l'expérimentation.

Les exemples sont précis. Onyx Sleet a produit plus de 100 fichiers PDF piégés sur mesure en août et septembre, par dizaines en quelques minutes, probablement grâce à une plateforme d'IA, pour des campagnes d'hameçonnage visant des utilisateurs sud-coréens. Coral Sleet a mis en place depuis avril une chaîne qui piège des dépôts GitHub privés pour les intégrer à son dispositif malveillant ; selon Microsoft, une plateforme de développement dotée d'IA l'a probablement rendue possible, et le rapport cite Cursor comme facilitateur probable. Jasper Sleet s'appuie sur des CV produits avec l'aide de l'IA pour entretenir de fausses identités qui postulent à des emplois à distance. Pearl Sleet et Onyx Sleet ont commencé à utiliser ARTEX, un cadre agentique de test d'intrusion. Emerald Sleet recourrait peut-être à des voix et des vidéos générées, sans que Microsoft puisse en mesurer l'effet réel.

Ce qui change, et ce qui ne change pas

Microsoft regroupe ces usages en quatre domaines : reconnaissance, ingénierie sociale et usurpation d'identité, développement logiciel, et passage à l'échelle des opérations, par exemple le résumé de données volées. Il insiste sur la stabilité des motivations : financer le régime, recueillir du renseignement et, parfois, perturber. Les cibles comprennent les acteurs des cryptomonnaies et de la finance, les chaînes d'approvisionnement logicielles, des administrations, les télécoms, le pétrole et le gaz, et la défense.

Le rapport prolonge l'analyse publiée par Microsoft en mars, relayée par SecureWorld, qui portait sur Jasper Sleet et Coral Sleet et notait que l'IA agentique n'était pas encore observée à grande échelle.

Recommandations

Microsoft conseille de renforcer l'application des correctifs et les défenses contre l'hameçonnage, de bloquer lorsque c'est possible la connexion par code d'appareil, et de mieux contrôler les recrutements à distance, par exemple en repérant les comptes en double, les numéros de téléphone partagés et en vérifiant la présence réelle à l'écran. Le rapport ne précise pas si Microsoft a pris des mesures contre les comptes concernés.