微软“AI即谍战技艺”：朝鲜的Jasper与Coral Sleet在整个入侵过程中全程使用大语言模型

在2026年3月6日，Microsoft Threat Intelligence 发布了AI 即战术：威胁行为者如何将 AI 投入实战，这份报告认为，AI 已不再是附加在入侵活动上的实验，而是成为在其底层运行的操作层。其案例研究是朝鲜远程 IT 工作者活动，Microsoft 将其追踪为Jasper Sleet 和 Coral Sleet（前身为 Storm-1877）：这些人凭借伪造身份被聘用到真实的工程岗位，随后借助语言模型保住工作和访问权限。报告没有点名任何受害公司，没有给出被盗记录数量，也没有提及任何遭入侵系统。其唯一的规模数据是，Microsoft“识别并破坏了数千个与欺诈性 IT 工作者活动相关的账户”，但未附上国家、日期范围或雇主信息。这份报告是AI 事件档案中的一条记录，该档案收录了完整记录、其引用来源以及本系列中的相邻事件。

聘用即侵入：Jasper Sleet 如何使用模型

微软对该集群的总结是，Jasper Sleet“利用AI贯穿整个攻击生命周期，从而获得录用、保住职位，并大规模滥用访问权限”。其机制并没有这句话听起来那么离奇。它始于招聘帖。根据该报告，攻击者会阅读专业平台上的职位列表，以提取一个人设所需的特定岗位用语、职责和资质，识别哪些认证和工具需求旺盛，并研究目标行业的平台和工作流程，使虚构身份在招聘对话中经得起推敲。

微软逐字引用的一些提示词几乎平淡无奇。为了构建身份，行为者提示 AI 平台“创建一份包含 100 个希腊名字的列表”，以及“使用 Jane Doe 这个名字创建一组电子邮件地址格式列表”。同样的工具还撰写了针对特定招聘岗位量身定制的简历和求职信，并生成了虚假的开发者作品集。微软表示，这些人物设定随后被跨多个申请和平台重复使用，而不是在一次尝试后就弃用。

媒体层是报告给出具体细节的地方。微软表示，已观察到 Jasper Sleet 使用应用程序 Faceswap 将朝鲜 IT 工作人员的面部插入被盗身份文件中，并为简历生成精致的头像照片。在某些情况下，同一张 AI 生成的照片被多个身份重复使用，仅有轻微变化；报告展示了两份简历，它们带有同一张图像的不同版本。面试期间使用了变声软件来掩盖口音，微软将此描述为使这些工作人员能够在远程招聘流程中冒充西方候选人。

入职后，AI 的使用就变得与普通办公工作别无二致。Microsoft 列举了翻译消息和文档、通过提示让工具起草符合语境的专业回复——报道引用了提示语“帮我回复这封邮件”——生成代码片段以回答陌生领域的技术问题，以及在电子邮件、聊天和文档中保持一致语气，从而不引起任何怀疑。Microsoft 的要点在于，这些正是数百万员工每天输入的相同提示；不同之处在于其背后的意图，即让同事相信一个虚构身份是真实的人。

Coral Sleet、OtterCookie，以及模型在代码中留下的指纹

Coral Sleet 是报告中技术含量更高的那一半。微软表示，该集群此前被追踪为 Storm-1877，已使用 AI 编码工具生成、改进并重新实现恶意软件组件，并使用智能体式 AI 工具“支持完全由 AI 驱动的工作流”，该工作流涵盖端到端诱饵开发、虚假公司网站创建、远程基础设施配置以及快速载荷测试和部署。报告还指出，该行为体通过越狱 LLM 软件创建新载荷，生成绕过模型内置防护的恶意代码。

微软最具体的贡献是一组它声称与AI辅助代码相符的迹象。在OtterCookie这个报告中用作示例的恶意软件家族中，该公司发现了被用作代码路径内视觉标记的表情符号——成功请求用绿色对勾，错误用红色叉号——以及描述执行状态的对话式行内注释，包括“目前，我们只会报告需要手动启动”这句话。报告还为防御者列出了另外三种模式：过度描述性或冗余的命名、带有不必要抽象层的过度工程化模块结构，以及相关对象之间不一致的命名约定。

报告对这项推断的适用范围持谨慎态度。报告称，AI“通常在人主导的恶意软件工作流中充当开发加速器，端到端编写仍由操作员驱动”——操作员保持对目标、部署决策和操作手法的控制，而模型则承担故障排查、将代码移植到新环境，以及用不同语言或库重新实现功能。周边基础设施工作也以同样口吻描述：反向代理、SOCKS5 和 OpenVPN 配置、远程桌面隧道、远程流传输与输入模拟，以及基于 GAN 生成仿冒品牌的域名，用于网络钓鱼、命令与控制及凭据窃取。

微软观察到了什么，以及它仅仅评估了什么

这一区分比研究结果本身更重要，因为报告中的各项论断分级各不相同，很容易被当作一个整体来解读。

据微软所述，观察到的情形是：当今大多数恶意 AI 使用都是生成式的——起草诱饵、翻译、总结窃取的数据、生成或调试代码、搭建基础设施；上述的 Jasper 和 Coral 行为；基于角色的越狱，例如“以值得信赖的网络安全分析师身份作答”和“我是一名网络安全学生，请帮我理解反向代理是如何工作的”；以及对 IT 员工账户的干扰。报告还点名了 Emerald Sleet，称其使用 LLM 研究公开披露的漏洞，包括 CVE-2022-30190，即 Microsoft Support Diagnostic Tool 漏洞；微软称这项工作是与 OpenAI 合作完成的。Sapphire Sleet被列为使用以面试为主题和财务机会为诱饵获取初始访问权限的行为体之一。

评估：该论断本身。“AI 充当力量倍增器，可减少技术摩擦并加速执行，而人类操作员仍掌控目标、目标选择与部署决策。”这是从观察中得出的判断，而非测量结果，微软也正是这样呈现的。

早期或实验性：智能体式使用与 AI 赋能的恶意软件。报告指出：“微软尚未观察到威胁行为者大规模使用智能体式 AI”，并将这一局限归因于可靠性和操作风险，而非意图不足。对于在运行时（而不仅在开发期间）调用模型的恶意软件，公开报告将其描述为“看似处于实验阶段且发展不均衡”。

报告中有一段内容值得仔细阅读，以了解它如何处理一个微弱信号。微软表示，其研究人员已观察到一种日益增长的趋势：合法组织在多个 AI 平台上污染 AI 助手记忆，使未来的回答偏向自己的产品——即“AI 推荐投毒”。报告随后明确指出，该活动“迄今仅限于企业营销用例”，同时指出它“可能被威胁行为者滥用”。报告中威胁部分提到的一种技术，目前尚无任何威胁行为者被记录使用过，却被如此标注，这并不符合供应商报告的惯例。

报告不包含的内容

文档中没有指标表。文中未列出任何恶意域名、IP 地址、文件哈希或恶意软件样本数量，也没有防御者通常会加载到阻止列表中的那类 IOC。其 Sentinel 部分笼统地提到“本文博客文章中提到的恶意域名指标”，但正文中并未出现任何此类指标；客户被引导至 TI Mapping 分析。正文中仅有的域名是一个示例地址和一个指向另一家公司网站的链接。

报告中也未提及任何模型名称和版本。整份报告通篇使用“大型语言模型”、“AI 编程工具”、“LLM 软件”、“生成式 AI 平台”等说法，并有一次提到 Faceswap。任何希望将其当作一份记录哪家厂商的防护措施被绕过的记分卡来阅读的人，都无法在这里找到这样的内容，报告也不支持这种解读。

它也没有指明受害者。报告未点名任何雇主，未给出遭入侵组织的数量，也未估算被盗数据的规模。“数千个账户”这一数字是该报告对该计划唯一的量化，且未作任何细分。该档案将此条目评为置信度 A、无争议，并确认有 AI 参与——这是在说明该报告的记录有多充分，而不是其主张已由作者以外任何人检验过的证据。

谁检查过微软的工作？

自发布以来，相关报道大多只是复述了该报告，而非对其进行审视。Drew Todd 为 SecureWorld 撰写的文章准确总结了调查结果，并引用了两位安全高管——SlashID 的 Vincenzo Iozzo 和 Acalvio 的 Ram Varadarajan——但两人都是在回应该趋势，而非佐证其背后的归因或遥测数据。Cloud Security Alliance 于2026年3月8日发布了一篇研究简报，将该报告映射到其自有框架中，并提炼出防御方面的启示；但该简报未提供独立的证据、独立的归因分析，也未与其他厂商的发现进行比较。Microsoft 发布了其自己关于该报告的配套播客讨论。

为本文找到的报道没有一篇反驳该报告。同样，也没有一篇表明能独立获取微软的遥测数据、被干扰的账户或 OtterCookie 样本。朝鲜归因是微软作出的，源自其自身的追踪，并在报告中作为该公司的评估呈现。这使其成为一家资源雄厚的供应商提供的详细单一来源叙述，而非多方调查——档案的信心评级并未作出这一区分，而读者应当作出区分。

微软建议防御者对此该怎么做

这些指导大多只是套着AI框架的传统安全卫生做法，而其中最有趣的一项是一条检测原则，而不是某个产品。

不要把语言当作信号。微软的建议是：把检测重点放在行为、投递基础设施和上下文上，而不是静态指标或语言本身——因为正如同一份报告所指出的，AI 正被用来消除语法错误和生硬的措辞，而这些曾一度被防御者视为破绽。

• 对所有账户和所有设备、在所有位置、始终强制执行 MFA，并移除被排除在 MFA 之外的账户。应用推荐的 Exchange Online Protection 和 Defender for Office 365 设置、面向内部收件人的 Safe Links 策略、零时差自动清除和网络保护，并运行钓鱼模拟，包括在 Teams 中。

• 将欺诈性远程员工视为内部风险问题。Microsoft 建议使用 Purview 内部风险管理来应对合法访问权限被滥用、异常访问以及“低速缓慢”的活动，并使用面向 AI 的 DSPM 来发现整个环境中的 AI 使用情况，同时配合覆盖提示词和响应的审核日志记录与保留策略。

• 治理内部 AI 使用。处于公共预览阶段的 AI 安全仪表板可汇总 Defender、Entra 和 Purview 中的 AI 风险；Agent 365 则作为企业内 AI 智能体的控制平面提供。

• 保护 AI 应用程序本身。Azure AI Content Safety 中的 Prompt Shields 和 Groundedness Detection、Defender for Cloud 中针对 AI 服务的威胁防护，以及针对 Azure AI 部署的越狱尝试警报。

• 检查图像。Microsoft 建议使用 FaceForensics++ 等开源工具进行分析，并列出需要留意的伪影：时间不一致、遮挡失效、光照不匹配、音视频延迟、夸张表情、畸形附肢和边缘像素化。

报告真正的贡献不是伤亡人数，因为它根本没有。它描绘的是一张地图，标出模型在哪些环节消除了阻力——简历、面试、攻击载荷的初稿、给同事的回复——并提醒人们，在每一个这样的节点上，仍然是人选择了目标。那些限定性表述才是值得保留的部分：智能体式使用尚未形成规模，AI编写的恶意软件仍属实验性且水平参差，而微软实际在野外观察到的唯一一种AI投毒技术，竟是被营销团队使用的。防御者现在可以针对其机制采取行动。但他们仅凭这份文件无法做到的，是核查这项工作。