북한 해킹조직 김수키가 피싱 문서 제작을 넘어 로컬 LLM과 RAG 환경을 직접 구축한 정황이 보안기업 지니언스에 의해 포착됐다. Ollama, GPT4All, Msty 등 로컬 LLM 구동 도구와 AI 에이전트 개발 프레임워크, 코드 편집기 Cursor 사용 흔적이 확인됐으며, 외부 서버 전송 없이 탈취 문서를 AI로 분석·정보 추출하는 데 활용한 것으로 분석된다. 가상자산·금융 문서로 위장한 정교한 스피어피싱 문서도 다수 유포됐으며 공격 대상은 가상자산 지갑과 Gmail 계정 정보 등이다. 국가 배후 해킹조직이 AI를 공격 체계 전반에 접목하며 역량을 고도화하고 있음을 보여주는 사례다.

• •김수키가 Ollama·GPT4All·Msty 등으로 로컬 LLM 환경을 직접 구축했다.
• •RAG와 AI 에이전트 개발 프레임워크, 코드 편집기 Cursor 사용 흔적이 확인됐다.
• •외부 전송 없이 탈취 문서를 AI로 분석해 정보를 추출하는 데 활용한 것으로 분석된다.
• •가상자산·금융 문서로 위장한 정교한 AI 제작 스피어피싱 문서가 유포됐다.
• •공격 대상은 가상자산 지갑, Gmail 계정 정보 등 개인정보로 확인됐다.