本案例研究原刊於 OpenAI 的2025 年 2 月（在新視窗中開啟）報告。
威脅行為者
我們封禁了一批帳戶，其活動可能與公開報道中隸屬朝鮮民主主義人民共和國（DPRK）的威脅行為者有關。其中部分帳戶的活動涉及與名為 VELVET CHOLLIMA（又稱 Kimsuky、Emerald Sleet）（在新視窗中開啟）的威脅組織一致的戰術、技術及程序（TTPs）；另一些帳戶則可能與某個威脅行為者有關，可靠消息來源評估該行為者與 STARDUST CHOLLIMA（又稱 APT38、Sapphire Sleet）（在新視窗中開啟）存在關聯。我們收到可信業界合作夥伴的線報後，偵測到這些帳戶。
行為
被封禁的帳戶主要使用我們的工具，查找可能與網絡入侵工具或行動有關的資料。這些帳戶亦對加密貨幣相關議題感興趣，可能與牟利活動有關。這種牟利與網絡活動並行的模式，是 DPRK 相關威脅組織的典型特徵。
回應結果
這些行為者使用我們的模型協助編寫及除錯程式，並研究與保安相關的開源程式碼。當中包括協助為公開工具及程式碼進行除錯和開發，這些工具和程式碼可用於對遙距桌面通訊協定（RDP）發動暴力破解攻擊；模型亦就如何使用開源遙距管理工具（RAT）提供協助。
在為 MacOS 的自動啟動擴展點（ASEP）位置及技術進行除錯時，該行為者披露了多個用於暫存二進制檔案（已編譯的可執行檔案）的 URL；當時各保安供應商似乎尚未掌握這些檔案。我們已將這些暫存 URL 提交至網上掃描服務，以便與保安業界分享。多家供應商現已能可靠偵測相關二進制檔案，從而保障潛在受害者。
以下範例展示部分活動如何對應至早前為 MITRE ATT&CK® 框架（在新視窗中開啟）提出、以 LLM 為主題的擴展項目：
查詢不同應用程式的漏洞：由 LLM 提供資訊的偵察。
開發以 C# 編寫的 RDP 用戶端並排解問題，以發動暴力破解攻擊：LLM 輔助開發。
要求提供程式碼，以繞過未經授權 RDP 存取的保安警告：LLM 輔助開發。
要求提供大量 PowerShell 指令碼，用於 RDP 連線、上載及下載檔案、從記憶體執行程式碼，以及混淆 HTML 內容：LLM 增強指令碼技術；LLM 增強異常偵測規避。
討論建立並部署經混淆的攻擊載荷以供執行：LLM 優化攻擊載荷製作。
尋找針對加密貨幣投資者及交易者進行定向網絡釣魚和社交工程的方法，以及較通用的網絡釣魚內容：LLM 支援社交工程。
撰寫網絡釣魚電郵及通知，誘使使用者披露敏感資料：LLM 支援社交工程。
研究開源遙距管理工具（RAT）：LLM 輔助入侵後活動。
影響
該行為者的提示和查詢主要以現有開源資料為基礎，而模型提供的生成內容並未帶來任何新能力，或只是拒絕回應。我們封禁了與該威脅行為者有關的帳戶，並與保安業界分享其攻擊載荷，以進一步遏止其行動。