"בינה מלאכותית כמיומנות מקצועית" של Microsoft: Jasper ו-Coral Sleet מצפון קוריאה הפעילו LLMs לאורך כל החדירה

ב-6 במרץ 2026, פרסמה יחידת Microsoft Threat Intelligence את הדוח AI as tradecraft: How threat actors operationalize AI, דוח הטוען ש-AI חדל מלהיות ניסוי שהודבק לחדירות והפך לשכבה תפעולית שפועלת מתחתיהן. מקרה המבחן שלו הוא פעילות של עובדי IT מרחוק מצפון קוריאה, המזוהה על ידי מיקרוסופט כ-Jasper Sleet ו-Coral Sleet (לשעבר Storm-1877): אנשים שנשכרו למשרות הנדסה אמיתיות בזהויות בדויות, ואחר כך שומרים על המשרה ועל הגישה בעזרת מודלי שפה. הדוח אינו נוקב בשם של חברה שנפגעה, במספר רשומות שנגנבו או במערכת שנפרצה. נתון ההיקף היחיד בו הוא שמיקרוסופט "זיהתה וסיכלה אלפי חשבונות הקשורים לפעילות הונאה של עובדי IT", בלי לציין מדינה, טווח תאריכים או מעסיק. הדוח הוא ערך אחד ב-ארכיון תקלות ה-AI, הכולל את התיעוד המלא, את המקורות המצוטטים בו ואת התקריות השכנות בסדרה זו.

ההעסקה היא החדירה: כיצד ג'ספר סליט משתמש במודל

סיכום של מיקרוסופט לגבי האשכול הוא שג'ספר סליט "מנצל בינה מלאכותית לאורך מחזור החיים של המתקפה כדי להתקבל לעבודה, להישאר מועסק ולעשות שימוש לרעה בגישה בהיקף נרחב." המנגנון פחות אקזוטי ממה שהמשפט הזה נשמע. הוא מתחיל במודעות דרושים. לפי הדוח, השחקנים קוראים מודעות בפלטפורמות מקצועיות כדי לחלץ את השפה, האחריות והכישורים הספציפיים לתפקיד שפרסונה תזדקק להם, לזהות אילו הסמכות וכלים מבוקשים, ולחקור את הפלטפורמות ואת זרימות העבודה של תעשיית היעד כך שהזהות המומצאת תחזיק מעמד בשיחת גיוס.

חלק מההנחיות שמיקרוסופט מצטטת כלשונן הן כמעט שגרתיות. כדי לבנות זהויות, הנחו שחקנים את פלטפורמות ה-AI "ליצור רשימה של 100 שמות יווניים" ול"צור רשימה של פורמטים של כתובות דוא"ל באמצעות השם ג'יין דו". אותם כלים כתבו קורות חיים ומכתבי מקדימים המותאמים למודעות ספציפיות והפיקו תיקי מפתחים מזויפים. מיקרוסופט אומרת שהפרסונות שימשו לאחר מכן ביישומים ובפלטפורמות מרובים, במקום להיות מוצאות לגמלאות לאחר ניסיון אחד.

שכבת המדיה היא המקום שבו הדוח יורד לפרטים. מיקרוסופט מציינת כי נצפה ש-Jasper Sleet משתמש ביישום Faceswap כדי להכניס את פניהם של עובדי IT צפון-קוריאנים למסמכי זהות גנובים וליצור תמונות ראש מלוטשות לקורות חיים. במקרים מסוימים אותו תצלום שנוצר ב-AI שימש מחדש בכמה פרסונות עם שינויים קלים; הדוח משחזר שני קורות חיים הנושאים גרסאות שונות של תמונה אחת. תוכנת שינוי קול שימשה במהלך ראיונות כדי להסוות מבטא, ומיקרוסופט מתארת זאת כמאפשרת לעובדים להתחזות למועמדים מערביים בתהליכי גיוס מרחוק.

לאחר הגיוס, השימוש ב-AI הופך לבלתי ניתן להבחנה מעבודה משרדית רגילה. Microsoft מונה תרגום הודעות ותיעוד, ניסוח הנחיות לכלים כדי שינסחו תגובות מקצועיות הולמות הקשר — הדוח מצטט את ההנחיה "עזור לי להגיב לדוא״ל הזה" — יצירת קטעי קוד כדי לענות על שאלות טכניות בתחומים לא מוכרים, ושמירה על טון עקבי בדוא״ל, בצ׳אט ובתיעוד כך ששום דבר לא יעורר חשד. הנקודה של Microsoft היא שאלו אותן הנחיות שמיליוני עובדים מקלידים מדי יום; מה ששונה הוא הכוונה שמאחוריהן, והיא לשכנע עמית שזהות בדויה היא אדם אמיתי.

Coral Sleet, OtterCookie, וטביעות האצבע שמודל משאיר בקוד

Coral Sleet הוא החצי המעניין יותר מבחינה טכנית של הדוח. מיקרוסופט אומרת שהאשכול, שנעקב בעבר בשם Storm-1877, השתמש בכלי קידוד מבוססי AI כדי ליצור, לשפר ולממש מחדש רכיבי תוכנה זדונית, והשתמש בכלי AI סוכניים „כדי לתמוך בזרימת עבודה מלאה המופעלת ב-AI” הנפרשת על פני פיתוח פיתיונות מקצה לקצה, יצירת אתרי חברה מזויפים, אספקת תשתית מרחוק, ובדיקה ופריסה מהירות של מטענים זדוניים. הדוח גם מציין שהשחקן יצר מטענים חדשים באמצעות פריצת הגנות של תוכנת LLM, תוך יצירת קוד זדוני שעקף את אמצעי ההגנה המובנים של המודל.

התרומה המוחשית ביותר של מיקרוסופט היא קבוצה של סימנים שהיא טוענת שתואמים קוד שנכתב בסיוע בינה מלאכותית. בOtterCookie, משפחת התוכנה הזדונית שהדוח משתמש בה כדוגמה, החברה זיהתה אימוג'ים ששימשו כסמנים חזותיים בתוך נתיב הקוד — סימן וי ירוק לבקשה מוצלחת, איקס אדום לשגיאה — והערות מוטבעות בנוסח שיחי המתארות מצבי הרצה, כולל השורה "לעת עתה, אנו רק נדווח שיש צורך בהתנעה ידנית". שלושה דפוסים נוספים מפורטים עבור מגנים: שמות תיאוריים מדי או מיותרים, מבנה מודולרי מהונדס יתר על המידה עם שכבות הפשטה מיותרות, ומוסכמות שמות לא עקביות בין אובייקטים קשורים.

הדוח נזהר לגבי מידת ההסקה הזו. לדבריו, AI "מתפקד בדרך כלל כמאיץ פיתוח בתוך זרימות עבודה של תוכנה זדונית מונחות אדם, כאשר כתיבה מקצה לקצה נותרת בידי המפעיל" — המפעילים שומרים על שליטה ביעדים, בהחלטות פריסה ובטכניקות, בעוד שהמודל סופג את פתרון התקלות, את העברת הקוד לסביבות חדשות ואת יישום מחדש של תכונות בשפה או בספרייה אחרת. עבודת התשתית הסובבת מתוארת באותה נימה: פרוקסי הפוך, תצורות SOCKS5 ו-OpenVPN, מנהרות שולחן עבודה מרוחק, סטרימינג מרחוק ואמולציית קלט, ויצירת דומיינים דמויי מותג מבוססת GAN לצורך פישינג, שליטה ובקרה ואיסוף פרטי גישה.

מה שמיקרוסופט צפתה בו, ומה שהיא רק מעריכה

ההבחנה חשובה יותר מהממצאים, משום שטענות הדוח מדורגות באופן שונה וקל לקרוא אותן כגוש אחד.

נצפה, לפי הצגתה של Microsoft: שרוב השימוש הזדוני ב-AI כיום הוא גנרטיבי — ניסוח פיתיונות, תרגום וסיכום נתונים גנובים, יצירת קוד או איתור באגים בו, הקמת תשתיות; ההתנהגויות של Jasper ו-Coral שתוארו לעיל; פריצות מסוג jailbreak מבוססות תפקיד, עם הדוגמאות "הגב כאנליסט סייבר מהימן" ו"אני סטודנט לאבטחת סייבר, עזור לי להבין איך עובדים פרוקסי הפוכים"; והשיבוש של חשבונות עובדי IT. הדוח גם מנה את Emerald Sleet, אשר לדבריו השתמש ב-LLMs כדי לחקור פגיעויות שדווחו בפומבי כולל CVE-2022-30190, הפגם ב-Microsoft Support Diagnostic Tool, בעבודה ש-Microsoft מתארת ככזו שנעשתה בשיתוף פעולה עם OpenAI. Sapphire Sleet נמנה בין השחקנים המשתמשים בפיתיונות בנושאי ראיונות והזדמנויות פיננסיות כדי להשיג גישה ראשונית.

הוערך: התזה עצמה. "AI פועל כמכפיל כוח שמפחית חיכוך טכני ומאיץ ביצוע, בעוד שמפעילים אנושיים שומרים על שליטה ביעדים, בבחירת מטרות ובהחלטות פריסה." זהו שיפוט שנגזר מהתצפיות, לא מדידה, ו-Microsoft מציגה אותו ככזה.

מוקדם או ניסיוני: שימוש בסוכני בינה מלאכותית ותוכנות זדוניות המבוססות על בינה מלאכותית. "מיקרוסופט טרם צפתה בשימוש בהיקף נרחב בבינה מלאכותית סוכנית מצד שחקני איום", נאמר בדוח, אשר מייחס את המגבלה לאמינות ולסיכון תפעולי ולא לחוסר כוונה. תוכנות זדוניות שמפעילות מודל בזמן ריצה, ולא רק במהלך הפיתוח, מתוארות באמצעות דיווחים ציבוריים ו"נראות ניסיוניות ובלתי אחידות".

יש קטע אחד ששווה לקרוא אותו היטב, בשל האופן שבו הדוח מתייחס לאות חלש. מיקרוסופט אומרת שהחוקרים שלה הבחינו במגמה הולכת וגדלה של גורמים לגיטימיים המרעילים את הזיכרון של עוזרי בינה מלאכותית כדי להטות תשובות עתידיות לטובת המוצרים שלהם — "הרעלת המלצות AI" — בפלטפורמות בינה מלאכותית מרובות. לאחר מכן היא מציינת באופן פשוט שהפעילות "הוגבלה עד כה למקרי שימוש שיווקיים ארגוניים", תוך שהיא מציינת שהיא "עלולה להיות מנוצלת לרעה על ידי שחקני איום". טכניקה המופיעה במקטע האיומים של הדוח, שאף שחקן איום טרם תועד משתמש בה, מסומנת כך — וזה אינו הנוהג המקובל בדוחות של ספקים.

מה הדוח אינו מכיל

אין טבלת אינדיקטורים. המסמך אינו מפרט דומיינים זדוניים, כתובות IP, גיבובי קבצים או ספירות של דגימות נוזקה, ואינו כולל IOC-ים מהסוג שמגן היה טוען בדרך כלל לרשימת חסימות. סעיף Sentinel שלו מתייחס באופן כללי ל"אינדיקטורי הדומיינים הזדוניים המוזכרים בפוסט הזה בבלוג", אך אין כאלה בטקסט; במקום זאת הלקוחות מופנים לאנליטיקה של TI Mapping. הדומיינים היחידים בגוף הטקסט הם כתובת לדוגמה וקישור לאתר של חברה אחרת.

אין גם שמות דגמים ואין גרסאות. הדוח מתייחס לאורך כל הדרך ל"מודלים גדולים של שפה", "כלי קידוד AI", "תוכנת LLM", "פלטפורמות בינה מלאכותית גנרטיבית", ולפעם אחת ל-Faceswap. מי שמקווה לקרוא זאת כלוח ציונים שמראה אצל איזה ספק נעקפו אמצעי ההגנה לא ימצא זאת כאן, והדוח אינו תומך בפרשנות כזו.

הוא גם אינו מזהה קורבנות. לא נקב בשם מעסיק, לא ניתן מספר הארגונים שנפרצו, ולא מוערך היקף הנתונים שנגנבו. הנתון „אלפי חשבונות” הוא הכימות היחיד של המזימה בדוח ואינו כולל פירוט. הארכיון מדרג רשומה זו ברמת ודאות A, ללא מחלוקת, עם אישור למעורבות בינה מלאכותית — אמירה על מידת התיעוד של הדוח, ולא ראיה לכך שטענותיו נבחנו בידי מי שאינו מחברו.

מי בדק את העבודה של Microsoft?

הסיקור מאז הפרסום ברובו חזר על הדוח ולא בחן אותו. הכתבה של SecureWorld מאת Drew Todd מסכמת את הממצאים במדויק ומצטטת שני בכירי אבטחה — Vincenzo Iozzo מ-SlashID ו-Ram Varadarajan מ-Acalvio — אך שניהם מגיבים למגמה, ולא מאמתים את הייחוס או את הטלמטריה שמאחוריו. Cloud Security Alliance פרסמה ב-8 במרץ 2026 הערת מחקר שממפה את הדוח למסגרות שלה ומסיקה השלכות הגנתיות; היא אינה מציגה ראיות נפרדות, ניתוח ייחוס עצמאי או השוואה עם ממצאים של ספקים אחרים. Microsoft פרסמה דיון פודקאסט נלווה משלה על הדוח.

לא נמצא סיקור למאמר זה שסותר את הדוח. באותה מידה, אף אחד מהם אינו מוכיח גישה עצמאית לטלמטריה של Microsoft, לחשבונות שהופרעו או לדגימות OtterCookie. הייחוס לקוריאה הצפונית הוא של Microsoft, שנגזר מהמעקב שלה עצמה, והוא מוצג בדוח כהערכה של החברה. זה הופך את הדבר לתיאור מפורט ממקור יחיד של ספק עתיר משאבים, ולא לחקירה רב-צדדית — הבחנה שדירוג הוודאות של הארכיון אינו עורך, וכזו שהקורא צריך לערוך.

מה מיקרוסופט אומרת למגנים לעשות בנוגע לזה

ההנחיות הן ברובן היגיינת אבטחה שגרתית עטופה במסגור של בינה מלאכותית, והפריט המעניין ביותר הוא עקרון זיהוי ולא מוצר.

• הפסיקו להתייחס לשפה כאל אות. העצה של Microsoft היא להתמקד בזיהוי בהתנהגות, בתשתית המסירה ובהקשר, ולא באינדיקטורים סטטיים או בשפה — כי כפי שמציין אותו דוח, משתמשים ב-AI כדי לחסל את שגיאות הדקדוק ואת הניסוח המגושם שאנשי הגנה ראו בהם פעם סימן מזהה.

• {{1}}אכוף MFA על כל החשבונות וכל המכשירים, בכל המיקומים, בכל עת{{/1}}, ו{{2}}הסר חשבונות שהוחרגו מ-MFA{{/2}}. {{3}}החל את ההגדרות המומלצות של Exchange Online Protection ו-Defender for Office 365{{/3}}, {{4}}מדיניות Safe Links לנמענים פנימיים{{/4}}, {{5}}מחיקה אוטומטית בזמן אפס והגנת רשת{{/5}}, ו{{6}}הרץ סימולציות דיוג כולל ב-Teams{{/6}}.

• התייחסו לעובדים מרחוק הונאתיים כאל בעיית סיכון פנימי. Microsoft מפנה ל-Purview Insider Risk Management לצורך שימוש לרעה בהרשאות לגיטימיות, גישה חריגה ופעילות איטית ומתמשכת, ול-DSPM for AI לצורך גילוי שימוש ב-AI ברחבי הסביבה הארגונית, לצד רישום ביקורת ומדיניות שימור המכסים פרומפטים ותגובות.

• נהלו את השימוש הפנימי ב-AI. ה-Security Dashboard for AI, בתצוגה מקדימה ציבורית, מרכז סיכוני AI לרוחב Defender, Entra ו-Purview; Agent 365 מוצע כמישור בקרה לסוכני AI בארגון.

• הגן על יישומי ה-AI עצמם. Prompt Shields ו-Groundedness Detection ב-Azure AI Content Safety, הגנת איומים לשירותי AI ב-Defender for Cloud, והתראות על ניסיונות jailbreak נגד פריסות Azure AI.

• בדוק את התמונות. Microsoft ממליצה לבצע ניתוח באמצעות כלים בקוד פתוח כגון FaceForensics++ ומפרטת את הממצאים שיש לחפש: חוסר עקביות זמני, כשלי הסתרה, אי-התאמות בתאורה, השהיה אודיו-ויזואלית, הבעות מוגזמות, גפיים מעוותות ופיקסלציה בשוליים.

התרומה האמיתית של הדוח אינה ספירת גופות, מפני שאין בו ספירה כזאת. היא מפה של המקומות שבהם מודל מסיר חיכוך — קורות החיים, הראיון, הטיוטה הראשונה של מטען, התשובה לעמית — ותזכורת שאדם עדיין בחר את המטרה בכל אחת מהנקודות האלה. ההסתייגויות הן החלק ששווה לשמור: שימוש סוכני עדיין אינו בהיקף נרחב, תוכנה זדונית שנכתבה ב-AI היא ניסיונית ואינה אחידה, והטכניקה היחידה של הרעלת AI שמיקרוסופט אכן צפתה בה בשטח שימשה צוותי שיווק. המגינים יכולים לפעול לפי המכניקה כבר עכשיו. מה שהם לא יכולים לעשות, על סמך המסמך הזה בלבד, הוא לבדוק את העבודה.