Un marco que salta entre programas estatales
Microsoft Threat Intelligence informó el 29 de octubre de que dos grupos norcoreanos a los que denomina Onyx Sleet y Pearl Sleet han utilizado, desde finales de octubre, ARTEX, un marco de código abierto de pruebas de penetración con agentes, en operaciones reales.
Es el segundo programa vinculado a un Estado asociado a la misma herramienta en una semana. CrowdStrike informó a finales de octubre de que un grupo vinculado a China al que llama VAPOR PANDA había usado ARTEX para escalar una campaña contra más de 200 organizaciones. El marco es público, así que su adopción por programas sin relación entre sí es lo esperable, y es también la razón por la que una defensa ajustada al uso que hace un grupo difícilmente aguantará.
Cuatro niveles, y nadie en el último
Microsoft califica de “alta” la adopción general de IA por parte de Corea del Norte y clasifica los grupos que sigue en cuatro etapas. Jade Sleet, Coral Sleet y Jasper Sleet están “operacionalizados”. Diamond Sleet, Onyx Sleet, Pearl Sleet y Sapphire Sleet están “acelerando”. Emerald Sleet está “expandiendo”. Ningún grupo queda como simplemente “emergente”.
El matiz es lo que conviene retener. Microsoft dice que estas operaciones siguen siendo “dirigidas por humanos y no se han vuelto plenamente autónomas”, y que la IA sobre todo mejora el oficio existente y la productividad del operador, sin sustituirlo.
Cómo se ve el volumen
La prueba más clara de escala es la generación de documentos. Microsoft dice haber identificado más de 100 archivos PDF señuelo con detalles específicos de cada objetivo, creados en agosto y septiembre de 2026, con decenas producidos con minutos de diferencia, un patrón que atribuye a una plataforma de IA. Sirvieron para campañas de phishing dirigidas a objetivos surcoreanos.
Otros hallazgos hablan de flujo de trabajo más que de volumen. Coral Sleet mantiene desde abril de 2026 una cadena que troyaniza repositorios privados de GitHub y los integra en su cadena de malware, que según Microsoft se construyó con mucha probabilidad con una plataforma de desarrollo asistida por IA. Se estima que Sapphire Sleet usó probablemente IA en un compromiso de software en Rust en agosto de 2026, con compilación dinámica de .NET tras la explotación. Jade Sleet, Coral Sleet, Pearl Sleet y Sapphire Sleet son considerados usuarios probables de la herramienta de programación con IA Cursor para escribir, depurar y rehacer herramientas después de que actúen los defensores.
Las identidades y los objetivos
Junto a las herramientas hay dos cambios. Entre el 8 y el 12 de junio de 2026, Jade Sleet lanzó una campaña con temática laboral a través de tres empresas pantalla, haciéndose pasar por reclutadores de una firma falsa de inteligencia sobre blockchain que se anunciaba como impulsada por IA. Y Diamond Sleet ha vuelto al sector del petróleo y el gas desde agosto de 2026, por primera vez desde 2023, además de crear empresas falsas de tecnología de comunicaciones para acercarse a operadoras de telecomunicaciones.
Jasper Sleet, el grupo asociado a los esquemas norcoreanos de trabajadores informáticos remotos, aparece descrito usando flujos de currículos asistidos por IA y herramientas reutilizables para gestionar sus identidades falsas.
Qué vigilar
El propio encuadre de Microsoft es que nada de esto es nuevo en su naturaleza —publicó un informe sobre el uso norcoreano de IA en marzo de 2026— y que el cambio está en el grado y en las herramientas. Lo que hay que vigilar es ARTEX. Un marco con agentes que dos programas estatales sin relación entre sí han adoptado con semanas de diferencia es un problema defensivo que no pertenece a ninguno de los dos.
