Ett ramverk som vandrar mellan statliga program
Microsoft Threat Intelligence rapporterade den 29 oktober att två nordkoreanska grupper som bolaget kallar Onyx Sleet och Pearl Sleet sedan slutet av oktober använt ARTEX, ett öppet agentiskt ramverk för penetrationstester, i skarpa operationer.
Det är det andra statsanknutna programmet som kopplas till samma verktyg på en vecka. CrowdStrike rapporterade i slutet av oktober att en Kina-kopplad grupp som bolaget kallar VAPOR PANDA använt ARTEX för att skala upp en kampanj mot fler än 200 organisationer. Ramverket är offentligt, så att det plockas upp av program utan koppling till varandra är väntat — och det är också skälet till att ett försvar som är inställt på en grupps användning knappast håller.
Fyra nivåer, och ingen i den lägsta
Microsoft bedömer Nordkoreas samlade AI-användning som “hög” och sorterar grupperna i fyra steg. Jade Sleet, Coral Sleet och Jasper Sleet är “operationaliserade”. Diamond Sleet, Onyx Sleet, Pearl Sleet och Sapphire Sleet “accelererar”. Emerald Sleet “expanderar”. Ingen grupp bedöms bara vara “framväxande”.
Förbehållet är det som är värt att hålla fast vid. Microsoft skriver att operationerna fortfarande är “människostyrda och inte har blivit helt autonoma”, och att AI i huvudsak förstärker befintligt hantverk och operatörernas produktivitet snarare än ersätter operatören.
Hur volymen ser ut
Det tydligaste beviset på skala är dokumentframställning. Microsoft uppger sig ha identifierat fler än 100 PDF-filer med lockbete och måltavlespecifika detaljer, skapade i augusti och september 2026, varav dussintals framställdes med minuters mellanrum — ett mönster som tillskrivs en AI-plattform. De användes i nätfiske mot sydkoreanska mål.
Andra fynd handlar om arbetsflöde snarare än volym. Coral Sleet har sedan april 2026 kört en kedja som trojaniserar privata GitHub-arkiv och fogar in dem i sin skadekodskedja, något Microsoft bedömer med hög sannolikhet byggts med en AI-driven utvecklingsplattform. Sapphire Sleet bedöms troligen ha använt AI vid ett intrång i Rust-programvara i augusti 2026, med dynamisk .NET-kompilering efter exploateringen. Jade Sleet, Coral Sleet, Pearl Sleet och Sapphire Sleet bedöms alla troligen använda kodverktyget Cursor för att skriva, felsöka och bygga om verktyg efter att försvarare agerat.
Identiteterna och målen
Vid sidan av verktygen finns två förskjutningar. Mellan den 8 och 12 juni 2026 drev Jade Sleet en jobbtemad kampanj via tre bulvanbolag och utgav sig för att vara rekryterare för ett påhittat blockkedjeanalysföretag som marknadsförde sig som AI-drivet. Och Diamond Sleet har sedan augusti 2026 återvänt till olje- och gassektorn för första gången sedan 2023, samtidigt som gruppen skapat falska kommunikationsteknikbolag för att närma sig teleoperatörer.
Jasper Sleet, gruppen som förknippas med Nordkoreas upplägg med fjärranställda IT-arbetare, beskrivs använda AI-stödda cv-flöden och återanvändbara verktyg för att sköta sina falska identiteter.
Vad man ska följa
Microsofts egen inramning är att inget av detta är nytt till sin art — bolaget publicerade en rapport om nordkoreanskt AI-hantverk i mars 2026 — och att förändringen ligger i grad och i verktyg. Det som är värt att följa är ARTEX. Ett agentiskt ramverk som två statliga program utan koppling till varandra plockat upp med veckors mellanrum är ett försvarsproblem som inte tillhör någon av dem.
