微软威胁情报团队于10月30日发布报告指出，在其追踪的8个朝鲜黑客组织中，有3个已将人工智能全面融入攻击流程，4个处于快速应用阶段，1个正在扩大应用范围。微软认为，AI已成为这些黑客的“效率倍增器”，广泛应用于目标侦察、社会工程、身份伪造及恶意软件开发等环节，但相关攻击仍由人工主导，尚未实现完全自主。
报告指出，朝鲜黑客组织发动网络攻击主要目的在于为政权创收和搜集战略情报，主要目标包括加密及金融机构、IT企业及软件供应链，以及政府和教育机构。在侦察环节，这些组织利用AI研究目标企业及员工、钱包、交易所和DeFi业务流程，以及漏洞、API和云服务，从而快速积累发动针对性攻击所需的专业知识。例如，有组织于2026年6月冒充一家AI区块链公司的招聘人员接触相关从业者，一周内即通过3家空壳公司发起同类攻击；另一组织自2026年8月起重新攻击油气行业，并成立虚假通信科技公司，以商业合作名义接触电信企业。
在社会工程和身份伪造方面，朝鲜黑客组织利用AI批量生成钓鱼、招聘及投资类诱饵内容，并调整语气以冒充外国人，伪造简历、面试回答、头像以及语音视频材料。其中一个组织在2026年8月至9月期间，针对韩国用户生成了100余份定制化钓鱼PDF文件；另有组织中，冒充海外企业雇员的朝鲜远程IT人员也利用AI同时管理多个虚假身份。在恶意软件开发方面，这些组织借助Cursor等AI编程工具编写和调试代码，被拦截后可快速更换工具以规避检测。微软发现，2026年8月针对Rust开发者的供应链攻击大概率使用了AI，部分组织还开始在行动中使用开源AI Agent渗透测试框架ARTEX。
为应对这些威胁，微软建议企业加强钓鱼防护及恶意软件检测，并严格核验远程求职者身份。此外，据Foresight News报道，链上侦探ZachXBT表示币安攻击事件很可能由朝鲜黑客组织Lazarus Group实施，TRM Labs则以高置信度将其归咎于Lazarus Group旗下的TraderTraitor。
