Группы из Северной Кореи, Ирана и Китая подозреваются в использовании ИИ в вредоносном ПО и злонамеренной деятельности

В новом отчете аналитической группы Google по угрозам (GTAG) показано, что поддерживаемые государством хакеры из Северной Кореи, Ирана и Китая активно экспериментируют и оптимизируют кибератаки с использованием инструментов искусственного интеллекта (ИИ), в данном случае — Google Gemini. 

Компания Google заявила, что наблюдала, как многочисленные связанные с государством группы использовали ее обширные языковые модели для разведки, социальной инженерии, разработки вредоносного ПО и совершенствования «всех этапов своих операций, от разведки и создания приманок для фишинга до разработки систем управления и контроля (C2) и утечки данных»

В докладе были обнаружены свидетельства новых и сложных атак с использованием искусственного интеллекта. В нем предупреждалось, что генеративный ИИ снижает технические барьеры для злонамеренных операций, помогая злоумышленникам действовать быстрее и точнее.

В докладе содержатся аналогичные предупреждения от Microsoft и OpenAI, которые раскрыли информацию о сопоставимых экспериментах, проводимых той же тройкой поддерживаемых государством организаций.

Кроме того, компания Anthropic, разработавшая Claude AI, опубликовала отчет о том, как она выявляет и противодействует использованию ИИ для атак, и группы, связанные с Северной Кореей в отчете в качестве основных злоумышленников фигурировали

Северокорейские государственные структуры обращаются к искусственному интеллекту

В своем последнем обновлении информации об угрозах Google подробно описала, как иранская группа, известная как TEMP.Zagros, также известная как MuddyWater, использовала Gemini для генерации и отладки вредоносного кода, замаскированного под научные исследования, с конечной целью разработки собственного вредоносного ПО.

При этом компания непреднамеренно раскрыла ключевые операционные детали, которые позволили Google нарушить работу части своей инфраструктуры.

Было обнаружено, что связанные с Китаем злоумышленники использовали Gemini для улучшения фишинговых приманок, проведения разведки целевых сетей и изучения методов горизонтального перемещения внутри скомпрометированных систем. В некоторых случаях они злоупотребляли Gemini для исследования незнакомых сред, таких как облачная инфраструктура, Kubernetes и vSphere, что указывает на попытку расширить свои технические возможности.

северокорейские операторы, как было замечено, изучают инструменты искусственного интеллекта для усиления разведывательных и фишинговых кампаний. Одна из северокорейских хакерских группировок, известная своей ролью в краже криптовалюты с использованием методов социальной инженерии, также пыталась использовать Gemini для написания кода, который позволил бы ей красть криптовалюту.

Компания Google смогла предотвратить эти атаки и заблокировать аккаунты, участвовавшие в них.

Новые горизонты киберзащиты

Отчет компании Anthropic был опубликован в августе 2025 года и содержит подтверждающие доказательства злоупотребления ИИ со стороны связанных с государством субъектов. Компания обнаружила, что северокорейские агенты использовали ее модель Claude, чтобы выдавать себя за удаленных разработчиков программного обеспечения, ищущих работу.

По имеющимся данным, они использовали Клода для составления резюме, примеров кода и ответов на технические вопросы на собеседованиях с целью получения внештатныхtracза рубежом.

Хотя результаты расследования Anthropic выявили мошеннические действия с использованием ИИ для получения работы, что могло бы привести к более масштабной хакерской атаке на организации, занимающиеся наймом сотрудников, они также подтверждают вывод Google о том, что инструменты ИИmaticтестируются злоумышленниками для получения дополнительных преимуществ.

Полученные данные создают новую головную боль для мирового сообщества кибербезопасности. Те же самые функции, которые делают модели и приложения ИИ мощными инструментами повышения производительности, используются также для создания мощных инструментов нанесения вреда, как показали отчеты, и по мере дальнейшего развития технологий злоумышленники будут адаптироваться, а их атаки станут более изощренными.

Правительства и технологические компании начинают реагировать, и дальнейший путь к смягчению последствий этих действий будет заключаться в продолжении сотрудничества между всеми заинтересованными сторонами.