Północnokoreańska grupa Kimsuky zainstalowała i skonfigurowała trzy środowiska do uruchamiania modeli językowych offline: Ollama, GPT4All i Msty. Południowokoreańska firma Genians opublikowała dziś raport, z którego wynika, że nie było to jednorazowe testowanie ciekawostki, tylko systematyczne budowanie zaplecza.
Kluczowe fakty:
- Północnokoreańska grupa Kimsuky zainstalowała i skonfigurowała trzy narzędzia do uruchamiania modeli językowych offline: Ollama, GPT4All i Msty, co zostało udokumentowane przez południowokoreańską firmę Genians w raporcie opisującym operację GitPower.
- Serwery sterujące grupy pełniły jednocześnie funkcję środowiska deweloperskiego złośliwego oprogramowania, magazynu wykradzionych danych oraz miejsca nauki obsługi narzędzi AI.
- Korzystanie z lokalnych modeli językowych pozwala grupie uniknąć wysyłania zapytań do zewnętrznych dostawców, takich jak OpenAI czy Anthropic, co eliminuje ryzyko zablokowania konta i ukrywa charakter prowadzonych działań.
Raport nosi tytuł „Kimsuky Integrates AI into Attack Operations, From AI-Generated Decoy Documents to a Local LLM” i opisuje kampanię, którą Genians Security Center nazwał operacją GitPower. Nazwa nie jest przypadkowa. Grupa od lat wykorzystuje repozytoria Git jako infrastrukturę sterującą, a obecna aktywność jest kontynuacją kampanii FlowerPower ujawnionej w 2023 roku.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Co znaleziono w infrastrukturze sterującej
Badacze prowadzili analizę logów przez wiele miesięcy. Okazało się, że serwery pełniły funkcję znacznie szerszą niż tylko wydawanie poleceń zainfekowanym komputerom. Służyły równolegle jako środowisko rozwoju złośliwego oprogramowania, magazyn wykradzionych danych i miejsce nauki obsługi narzędzi AI.
Ślady po trzech aplikacjach do uruchamiania modeli lokalnie wyglądają następująco:
- Ollama: pliki kluczy „id_ed25519″ oraz „id_ed25519.pub” w katalogu „C:\Users\Administrator.ollama”. Te klucze powstają automatycznie przy pierwszym uruchomieniu programu, więc nie chodzi o samo pobranie instalatora.
- GPT4All: instalator „LocalDocs-Setup-0.4.2.exe” oraz katalog utworzony po instalacji w „AppData\Local\nomic.ai\GPT4All”.
- Msty: plik „MstyStudio_x64.exe” schowany w folderze „Pictures” i moduł „msty-local-studio.exe” odpowiadający za obsługę modeli lokalnych.
Sens takiego rozwiązania jest oczywisty dla każdego, kto myśli o własnym bezpieczeństwie operacyjnym. Model działający na własnym sprzęcie nie wysyła zapytań do OpenAI, Anthropic ani Google. Nikt po drugiej stronie nie zobaczy, że ktoś pyta o analizę wykradzionej bazy danych, i nikt nie zablokuje konta.
Baza wiedzy zbudowana z cudzych dokumentów
Najmocniejszy dowód na to, że narzędzia były używane, a nie tylko zainstalowane, to plik „localdocs_v3.db” w katalogu GPT4All. Ta baza powstaje dopiero wtedy, gdy użytkownik skonfiguruje funkcję LocalDocs, czyli mechanizm RAG. W skrócie: model przestaje odpowiadać wyłącznie z tego, czego nauczył się podczas treningu, i zaczyna odpowiadać na podstawie dokumentów wskazanych przez operatora.
Genians zaznacza uczciwie, że sama obecność tej bazy nie dowodzi, iż wgrano do niej materiały skradzione ofiarom. Dowodzi natomiast, że ktoś próbował połączyć posiadane dokumenty z systemem AI.
W logach zachowało się też polecenie wpisane po koreańsku, przetłumaczone przez operatora w Tłumaczu Google i wklejone dalej:
„Sprawdźcie, proszę, czy nie zostały tu ujawnione dane osobowe, w tym informacje o portfelu (seed lub hasła rejestracyjne), dane Gmaila (identyfikator, hasło) oraz historia rejestracji na stronach. Im bardziej szczegółowa analiza, tym lepiej. Proszę nie robić tego byle jak. Z góry dziękuję.” / „Please check if any personal information, including wallet details (Seed or sign-up passwords, etc.), Gmail information (ID, password, etc.), and site sign-up history, has been exposed here. The more detailed the analysis, the better. Please do not do it haphazardly. Thank you.”
Ktoś zlecał maszynie przeszukanie zbioru danych pod kątem kluczy do portfeli kryptowalutowych. I prosił grzecznie, żeby nie robiła tego byle jak.
Czytam ten raport i widzę w nim coś, o czym w debacie o bezpieczeństwie AI mówi się zdecydowanie za rzadko. Cała architektura zabezpieczeń dużych dostawców opiera się na tym, że zapytanie przechodzi przez ich serwery i może zostać zablokowane. Model uruchomiony lokalnie omija ten mechanizm w całości i nie da się tego cofnąć, bo wagi otwartych modeli są już rozproszone po całym świecie.
Nie wyciągam z tego wniosku, że otwarte modele to błąd. Sam korzystam z nich na co dzień i widzę, ile dobrego dają małym firmom, które nie chcą wysyłać danych klientów do chmury. Ten sam argument, który przekonuje polskiego przedsiębiorcę do Ollamy, przekonał też operatora z Pjongjangu. Technologia jest ta sama, różni się tylko intencja.
Pytanie, które sobie zadaję po lekturze, brzmi inaczej: skoro poziom wejścia spadł tak nisko, to czy nasze zespoły bezpieczeństwa nadal oceniają wiadomości po jakości języka i formatowania? Bo jeśli tak, to bronimy się przed zagrożeniem, które przestało istnieć jakieś dwa lata temu.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Opisz krótko, czego potrzebujesz. Jesteśmy największym HUB-em AI w Polsce — w naszej bazie znajdziesz blisko 500 zweryfikowanych firm specjalizujących się w AI. W Twoim imieniu poprosimy 3-5 dopasowanych wykonawców o kontakt w ciągu 48 godzin.
Biblioteki, Whisper i materiały do nauki
Grupa nie poprzestała na gotowych aplikacjach. W katalogu „Pictures\zzz\nupkg”, a więc w miejscu, gdzie normalnie nikt nie trzyma komponentów programistycznych, badacze znaleźli pakiety NuGet. Wśród nich LLaMaSharp z akceleracją CUDA, LangChain.providers.llamasharp, Microsoft.SemanticKernel, Microsoft.Agents.AI oraz Microsoft.Extensions.AI. Były tam również pakiety OpenAI i Azure.AI.OpenAI, służące do wywoływania komercyjnych usług z poziomu własnego programu.
Obok tego archiwa „whisper.7z” i „faster-whisper.7z” z modelem rozpoznawania mowy oraz koreański poradnik o wyciąganiu tekstu z plików dźwiękowych, zapisany jako kompletna strona internetowa. Narzędzia tego typu zamieniają godziny nagranych rozmów w przeszukiwalny tekst.
Zestaw układa się w logiczną całość: uruchomienie modelu lokalnie, przeszukiwanie dokumentów, budowa agentów, integracja z usługami zewnętrznymi. Genians pisze wprost, że tego się nie zbiera z ciekawości.
Czego badacze nie znaleźli
Tu raport zachowuje powściągliwość, którą doceniam. Nie ma śladów trenowania własnego modelu. Nie ma dużych zbiorów treningowych ani plików wynikowych po dostrajaniu. Nie ujawniono też liczby ofiar operacji GitPower ani przykładu, w którym lokalny model zadziałał już przeciwko konkretnej organizacji. Reuters, który opisał sprawę jako pierwszy w obiegu międzynarodowym, dodaje, że ustaleń firmy nie udało się zweryfikować niezależnie.
Grupa jest natomiast na etapie zbierania wiedzy, a nie budowania własnej sztucznej inteligencji. Różnica bywa lekceważona, a ma znaczenie przy ocenie tempa, w jakim to zagrożenie może dojrzeć.
Osobno warto spojrzeć na dokumenty przynęty. Dwa anglojęzyczne pliki PDF miały w metadanych wpisanego autora „python-docx” i program „WPS 文字”, czyli chiński edytor firmy Kingsoft. Powstały 11 marca 2026 roku o godzinie 5:00:04 i 24 marca o 5:00:44. Dwa tygodnie odstępu, ta sama minuta, czterdzieści sekund różnicy. Tak wygląda produkcja seryjna.
Ślady, po których poznano operatora
Atrybucja opiera się na drobiazgach. W logach klawiatury zachowały się ciągi znaków, które po przełożeniu na koreański układ dubeolsik dają zdania z północnokoreańską pisownią: „싸이트” zamiast „사이트”, „리력” zamiast „이력”, „로출되였는지” zamiast „노출되었는지”. Te same formy wracały nawet po poprawkach klawiszem Backspace, co wyklucza literówki.
Producent systemu wpisany w logach to „Arirang”, marka znana z północnokoreańskich tabletów i telefonów. W procesach działały AnyDesk, Astrill VPN oraz Cursor. Astrill pojawia się regularnie w raportach o północnokoreańskich pracownikach IT działających pod fałszywą tożsamością.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Dlaczego to nie jest odległy problem Seulu
Polska ma własne dane i one też nie napawają optymizmem. CERT Polska zarejestrował w 2025 roku 260 783 incydenty, o 152 procent więcej niż rok wcześniej, przy 658 tysiącach zgłoszeń. Oszustwa komputerowe odpowiadały za 97 procent zdarzeń, a sam phishing za blisko 78 tysięcy przypadków, czyli mniej więcej trzydzieści procent całości. Na Listę Ostrzeżeń trafiło 244 341 domen.
„Ponad 260 tys. incydentów w roku 2025 to rekord, jakiego nie było w historii Polski” mówił przy publikacji raportu wicepremier i minister cyfryzacji Krzysztof Gawkowski.
Bezpośrednie powiązanie tych liczb z Kimsuky byłoby nadużyciem, bo grupa celuje głównie w Koreę Południową, dyplomację i sektor aktywów wirtualnych. Ale mechanizm przenosi się bez trudu. Google Threat Intelligence Group opisywał wzrost aktywności północnokoreańskich „pracowników IT” w Niemczech, Portugalii i Wielkiej Brytanii, a CrowdStrike przypisał grupie FAMOUS CHOLLIMA 47 procent wszystkich ręcznie prowadzonych włamań do firm technologicznych w Ameryce Północnej, Europie i Azji między kwietniem 2025 a marcem 2026.
Dla polskiej firmy wnioski są dość konkretne:
- Ocena wiadomości po jakości polszczyzny przestała być filtrem. Model uruchomiony lokalnie napisze poprawne pismo z ministerstwa w kilkanaście sekund i nie zostawi śladu u dostawcy AI.
- Detekcja musi opierać się na zachowaniu procesów: uruchomienie pliku LNK z archiwum, PowerShell z nienaturalnie długimi argumentami, ukryte zadanie w harmonogramie, ruch do GitHub Raw Content z konta niezwiązanego z pracą.
- Rekrutacja zdalna stała się częścią powierzchni ataku, a nie sprawą wyłącznie działu kadr. Weryfikacja tożsamości kandydata na stanowisko programisty to dziś element bezpieczeństwa.
- Podmiot objęty ustawą o krajowym systemie cyberbezpieczeństwa i dyrektywą NIS2 będzie musiał wykazać, że wykrywa takie sekwencje zdarzeń, a nie tylko że ma zainstalowany antywirus.
Najbardziej niepokoi mnie w tej historii banalność użytych narzędzi. Ollama, GPT4All, Whisper i Cursor to programy, które można pobrać w kwadrans i uruchomić na przyzwoitym laptopie z kartą graficzną. Bariera wejścia do zautomatyzowanej analizy skradzionych danych właśnie zniknęła.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz raportu Genians Security Center z dnia 10.08.2026, depeszy agencji Reuters opublikowanej tego samego dnia i przedrukowanej między innymi przez The Japan Times, a także wcześniejszego opracowania Fortinet o północnokoreańskich kampaniach wykorzystujących pliki LNK i GitHub jako infrastrukturę sterującą. Wykorzystano również materiały The Hacker News, Business Standard, raporty CrowdStrike oraz Google Threat Intelligence Group dotyczące działalności północnokoreańskich operatorów w Europie. Dane o skali incydentów w Polsce pochodzą z rocznego raportu CERT Polska za 2025 rok, opublikowanego przez NASK. Cytat operatora został zweryfikowany z oryginalnym materiałem źródłowym Genians, cytat Krzysztofa Gawkowskiego z relacji z konferencji prasowej NASK. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych ustaleń dotyczących operacji GitPower i wykorzystania lokalnych modeli językowych przez grupy powiązane z Koreą Północną.
