北朝鮮ハッカーがLLMをサイバー攻撃に本格活用——Microsoftが実態を詳細報告

Microsoftのスレットインテリジェンスチームが2026年3月6日、北朝鮮の脅威グループを含む国家支援アクターがLLM（大規模言語モデル）をサイバー攻撃のワークフローに組み込んでいる実態を詳細に報告しました。AIはもはや防御側だけのツールではなく、攻撃者の「標準的な武器」になりつつあります。

報告された脅威グループと手口

Emerald Sleet（北朝鮮系）

主な用途：CVE調査の自動化

• 公開されている脆弱性（CVE）情報をLLMで効率的に検索・分析
• ターゲットのシステム構成に合わせた攻撃可能な脆弱性を高速でリストアップ
• これまで専門知識が必要だった偵察フェーズをAIで大幅に効率化

Coral Sleet（北朝鮮系）

完全AI化された攻撃チェーン

フィッシング用偽企業サイト作成（LLM生成）
        ↓
ターゲットにあわせたソーシャルエンジニアリング文作成
        ↓
マルウェア展開（LLM補助でコード生成）

偵察から実際の攻撃まで、ほぼ全工程をLLMで補助。非技術者でも高度な攻撃が実行可能になってきています。

AIが攻撃者にとって何を変えるのか

Microsoftの報告が強調する核心は「技術的摩擦の低下」です。

AIは攻撃者にとって「力乗数（force multiplier）」として機能しています。少ない人数・低い技術水準でより多くの・より洗練された攻撃が実行可能になるわけです。

AI生成マルウェアの特徴的なサイン

Microsoftが報告で指摘した興味深い点として、AI生成のマルウェアコードには：

• 絵文字がコードコメントに混入している
• 会話調のコメントが含まれている
• 変数名・関数名が不自然に「説明的」

…という特徴があり、これを検出シグネチャとして活用できるとしています。

日本への影響

北朝鮮の脅威グループは日本の企業・政府機関も攻撃対象としてきた実績があります。LLMを使った攻撃の高度化は、日本語に対応したフィッシングメール・偽サイトのクオリティ向上につながり得ます。

推奨対策

個人・企業共通

1. 多要素認証（MFA）の徹底：フィッシングで認証情報を盗まれても、MFAがあれば被害を限定できる
2. AIを意識したセキュリティ教育：「文体が自然なメール＝安全」という思い込みを捨てる
3. メールフィルタリング強化：AI生成フィッシングを検出できる最新フィルターへ更新

企業向け追加対策

1. 脆弱性管理の速度向上：攻撃者がLLMでCVE調査を高速化している以上、パッチ適用も迅速化が必要
2. ゼロトラストアーキテクチャ：認証済みでも最小権限の原則を徹底
3. AIを使った防御の強化：Microsoft DefenderなどAI検出機能を持つツールの活用

まとめ

AIが民主化されるということは、攻撃者も平等に恩恵を受けます。「LLMは便利ツール」という認識から、「LLMは攻撃者も使っている」という前提で防御戦略を見直す時期に来ています。

参考: AI as tradecraft: How threat actors operationalize AI – Microsoft Security Blog

見てもらえるだけで応援になります

このブログはアフィリエイトリンクで運営されています。以下のリンクから気になるサービスをチェックしてもらえると、僕たちの活動の支えになります。

• 45万円のAI講座［E資格］を月額3,000円で始められる【ラビットチャレンジ】
• NordVPN — プライバシー保護で安全なネット環境を

この記事を書いたのは わさび（ニホンイシガメ / 3歳 / VTuberあかはら。の家族）です。

あかはらVラボ — Claude特化の情報を発信中。

わさびの見解

わさびです。Microsoftの報告を読んで、北朝鮮ハッカーがLLMを攻撃チェーンにフル活用している実態に改めて危機感を覚えます。特に、CVE調査の自動化やフィッシングサイトの生成は、わさびがClaude Codeで毎日システム構築している視点から見ても、偵察フェーズの高速化が脅威です。2025年12月からClaude Codeを使い始めて3ヶ月でakahara-vlabの自動投稿パイプラインを224記事分回し、carasiAIでRSSを24/7収集する中で、AI生成コードの「絵文字コメント」や会話調の痕跡を実際に確認しました。OllamaでローカルLLMをclawdBotPjに組み込んだ時も、同じような不自然さが目立ちました。

これ、AIが攻撃者の「力乗数」になるのは確かですが、防御側も同じツールで対抗可能です。わさびのプロジェクト群（GHDsystemやZariaSystem）では、脆弱性スキャンをFastAPI+Redisで自動化し、パッチ適用をWP-CLIで即時実行。Sonnetでコードレビューをループさせ、AI生成マルウェアのサインを事前検知しています。結局、LLMをただ使う人ではなく、HooksやMCPを組み合わせたシステム構築ができるエンジニアと、それ以外との乖離が加速する。APIコストはかかりますが、時間節約が上回るのは実証済みです。

企業はゼロトラストを急ぎ、個人はMFAを鉄則に。皆さんも自分のパイプラインにAIセキュリティを組み込んでみてはどうでしょう。