La RPDC se arma con IA: el grupo Kimsuky domina los modelos generativos para la ciberguerra
La comunidad de inteligencia registra una tendencia alarmante: el grupo de hackers norcoreano Kimsuky, que opera bajo el amparo de la Dirección General de Reconocimiento de la RPDC, está pasando del simple uso de IA a la implementación sistemática de esta tecnología en sus cadenas de ataque. Mis investigaciones más recientes en este ámbito indican que estamos al borde de una nueva era en los conflictos cibernéticos, donde los modelos generativos se convierten no solo en una herramienta, sino en un elemento plenamente integrado en la infraestructura del atacante.
IA local: una nueva táctica de seguridad
A diferencia de otros actores, Kimsuky apuesta por soluciones de IA locales, no en la nube. En la infraestructura comprometida se han detectado rastros del despliegue y configuración de marcos como Ollama, GPT4All y Msty. Este enfoque no es casual: permite procesar los datos robados sin transferirlos a servicios externos, lo que reduce drásticamente el riesgo de detección e interceptación del tráfico. Esto es una prueba directa de que el grupo planifica meticulosamente la seguridad operativa en cada etapa.
Además, en el arsenal de los atacantes se ha encontrado un conjunto completo para la automatización: desde la tecnología RAG (generación aumentada por recuperación), que otorga a los modelos acceso a documentos específicos, hasta agentes de IA, sistemas de reconocimiento de voz e incluso el editor de código Cursor. Es evidente que los especialistas norcoreanos no se limitan a experimentos simples, sino que construyen deliberadamente un pipeline para el desarrollo de malware y el análisis de grandes volúmenes de información robada.
Del phishing a la automatización total
Anteriormente, el grupo ya utilizaba IA para crear documentos financieros y de criptomonedas falsos y convincentes, imitando informes de inversión. Ahora, el enfoque se desplaza hacia tareas más complejas. Según mis estimaciones, esta evolución —de la generación de contenido a la automatización de ataques— es un paso lógico. Dado que en 2025 los grupos norcoreanos robaron $2,02 mil millones en criptomonedas, el potencial para escalar estas operaciones mediante IA es enorme.
Los riesgos clave que identifico están relacionados con el uso de RAG para extraer datos de documentos robados y el empleo de sistemas de reconocimiento de voz para convertir grabaciones de audio en texto procesable. Esto transforma conjuntos de datos caóticos en inteligencia estructurada que puede utilizarse para futuros ataques dirigidos.
Por ahora, no se han encontrado rastros de entrenamiento de modelos propios, lo que sugiere que Kimsuky se encuentra en la fase de acumulación de datos e investigación. Sin embargo, esto es solo cuestión de tiempo. En mi opinión profesional, la industria de la seguridad debe prepararse para que la IA se convierta en un arma estándar en el arsenal de los grupos APT, y la situación actual con Kimsuky es solo una primera señal que advierte sobre la próxima ola de ataques altamente automatizados y difíciles de detectar.