The Pulse
Microsoft individua gruppi nordcoreani che usano agenti IA di ARTEX
Microsoft afferma che i gruppi nordcoreani Onyx Sleet e Pearl Sleet hanno utilizzato nelle loro operazioni ARTEX, un framework open source per il penetration testing basato su agenti. La sua analisi del 29 ottobre descrive anche attività di
AI.info Team · Scritto con l’IA · verificato ·
«Le prove attuali indicano che questi attori utilizzano l’IA principalmente per migliorare le tecniche già in uso e la produttività degli operatori, anziché per consentire operazioni autonome.»
Microsoft Threat Intelligence
Microsoft afferma che due gruppi di minacce nordcoreani, Onyx Sleet e Pearl Sleet, hanno utilizzato nelle loro operazioni un framework open source per il penetration testing basato su agenti IA. Nell’analisi del 29 ottobre, la società identifica lo strumento come ARTEX e colloca il suo presunto utilizzo all’interno di una più ampia campagna di ricognizione, creazione di false identità e sviluppo software assistiti dall’IA.
La scoperta segna un passo preciso oltre l’uso dell’IA generativa per scrivere messaggi esca o raccogliere informazioni sugli obiettivi: secondo Microsoft, i gruppi hanno introdotto un framework basato su agenti nelle loro attività operative. Il rapporto, tuttavia, non descrive casi in cui ARTEX abbia scelto autonomamente i bersagli o condotto attacchi senza l’intervento umano. Microsoft ritiene che le operazioni assistite dall’IA restino dirette da esseri umani.
Onyx Sleet e Pearl Sleet adottano ARTEX
Microsoft Threat Intelligence afferma di aver individuato Onyx Sleet e Pearl Sleet mentre utilizzavano ARTEX «dalla fine di ottobre 2026». La società descrive ARTEX come un framework open source per il penetration testing basato su agenti IA, ma non specifica quali compiti i due gruppi abbiano svolto con esso, non indica vittime specifiche di quelle operazioni e non afferma che ARTEX abbia portato a termine un’intrusione completa in autonomia.
Questa distinzione è importante. Il rapporto documenta l’adozione di uno strumento basato su agenti nelle operazioni, non un attacco informatico completamente autonomo. Secondo Microsoft, gli operatori umani probabilmente continuano a definire le intenzioni e gli obiettivi, anche se l’IA li assiste nel lavoro ripetitivo, nella sintesi delle informazioni e nelle decisioni successive a una compromissione.
L’IA aiuta ad ampliare il phishing e l’uso di false identità
Gli esempi di Microsoft comprendono anche usi meno autonomi. Tra l’8 e il 12 giugno 2026, la società ha osservato Jade Sleet utilizzare approcci legati a offerte di lavoro contro persone appartenenti a organizzazioni attive nella sicurezza informatica, nell’IA, nella blockchain e nel reclutamento. Il gruppo si è spacciato per una squadra di selezionatori di una falsa società di intelligence sulla blockchain basata sull’IA, per poi utilizzare altre due società di copertura, con infrastrutture simili e conoscenze specifiche del settore.
Microsoft attribuisce il ritmo e la personalizzazione di quell’attività a flussi di lavoro assistiti dall’IA generativa. Afferma inoltre di aver trovato oltre 100 file PDF esca, ciascuno adattato a uno specifico bersaglio, attribuiti a Onyx Sleet e creati in agosto e settembre. I metadati mostravano che decine di file erano comparsi nel giro di pochi minuti; Microsoft ha giudicato altamente probabile che fossero stati prodotti da una piattaforma di IA.
Il rapporto descrive l’assistenza dell’IA nella creazione di falsi curriculum, biografie, risposte per colloqui, traduzioni e materiali per profili, oltre al supporto nella gestione di molteplici identità di lavoratori. Microsoft afferma che Jasper Sleet usa strumenti di IA per mantenere le comunicazioni attraverso false identità di lavoratori. Questi metodi sostengono l’ingegneria sociale e i tentativi di ottenere impieghi a distanza legittimi, anziché sostituire gli operatori umani con agenti indipendenti.
Tre gruppi raggiungono il livello più alto di adozione secondo Microsoft
Microsoft classifica otto gruppi di minacce nordcoreani identificati per nome in quattro stadi di adozione dell’IA: emergente, in espansione, in accelerazione e operativa. Colloca Jade Sleet, Coral Sleet e Jasper Sleet nel livello operativo, descrivendo l’IA come integrata in tutte le loro operazioni. Diamond Sleet, Onyx Sleet, Pearl Sleet e Sapphire Sleet sono nel livello in accelerazione; Emerald Sleet sta ampliando il proprio uso dell’IA.
L’analisi collega anche lo sviluppo assistito dall’IA ad attività relative a malware e alla catena di approvvigionamento. Microsoft afferma che Sapphire Sleet ha probabilmente integrato l’IA durante una compromissione dell’agosto 2026 che coinvolgeva software Rust e che Coral Sleet aveva, da aprile, creato un flusso di lavoro per inserire trojan in repository privati di GitHub. Secondo la società, gli strumenti di sviluppo basati sull’IA possono aiutare a generare o ristrutturare codice, risolvere errori e adattare strumenti: capacità che possono aiutare gli attaccanti a cambiare tattica quando chi si difende li blocca.
Il rapporto traccia un limite all’autonomia
La tesi centrale di Microsoft è che l’IA aumenta la velocità e la portata di operazioni nordcoreane già consolidate, non che ne abbia cambiato gli scopi. Secondo la società, questi includono la generazione di entrate, la raccolta di informazioni strategiche e, in alcuni casi, il perseguimento di obiettivi di interruzione o distruzione. Tra i bersagli più comuni individua società finanziarie e di criptovalute, aziende tecnologiche, catene di approvvigionamento del software, enti governativi e organizzazioni del settore dell’istruzione.
Il presunto uso di ARTEX è l’elemento più chiaro relativo all’IA basata su agenti emerso nel post, ma Microsoft fornisce pochi dettagli operativi sul ruolo del framework in quei casi. Le prove più ampie presentate dalla società descrivono un’IA che accelera la ricognizione, il phishing, la gestione delle identità fittizie e il lavoro tecnico, mentre gli esseri umani mantengono il controllo degli obiettivi. Nella classificazione della stessa Microsoft, tre degli otto gruppi valutati hanno integrato l’IA in tutte le loro operazioni.