揭秘：朝鲜阅兵的“黑西装墨镜方队”究竟是什么部队？

每次朝鲜举办大规模阅兵式，那支穿着笔挺黑色西装、统一配戴墨镜、步伐严整的方队走过金日成广场时，总会让各国观察者陷入一阵困惑。这支队伍不穿军装、不扛武器，却能被安排在距检阅台最近的核心位置——在平壤的仪式政治体系里，阅兵站位从来都不是随意安排的，越靠近领袖席位，所代表的分量越重。

把这支队伍的公开亮相时间线梳理清楚，要从2012年说起。当年4月15日，朝鲜为纪念金日成诞辰100周年举行了规模空前的阅兵式，黑西装方队第一次成建制地走过主席台，成员手持笔记本电脑或平板设备，队形整齐划一。当时外界对此解读分散，有人认为是刻意制造神秘感的视觉装置，有人猜测是某种技术实力的宣示。等到2015年劳动党成立70周年阅兵、2017年建军节阅兵、2021年劳动党成立76周年夜间阅兵等场合，这支队伍反复登台，规模持续扩大，一再出现本身就在向外界传递一个信号：这不是偶然性的安排，而是一种有意识的制度性展示。

理解这支队伍，绕不开朝鲜侦察总局这个机构。侦察总局在2009年前后经历了一次重要的结构整合，将原本分散在朝鲜人民武力部情报总局、劳动党作战部等多个系统下的情报力量统一归口管理。从职能看，它覆盖对外情报收集、特种作战渗透、心理宣传以及技术性网络攻击，直接向最高领导层负责，是权力链条最短、指挥最直接的机构之一。外界所说的”121局”，正处于侦察总局体系的核心位置，是朝鲜网络作战能力的主要承载者。

121局内部并非铁板一块，而是由功能高度分化的子团队构成。经过国际网络安全社区多年的技术追踪，目前识别度较高的有三支：一是以金融盗窃为主业的”拉撒路组织”（Lazarus Group），其下还分化出专门针对金融机构跨境转账的APT38子组；二是以情报侦收为核心、长期渗透韩国、日本及美国政府机构和研究智库的Kimsuky（由Mandiant等机构标注为APT43）；三是近年来转向勒索软件市场、以医疗机构和国防承包商为主要打击目标的Andariel。三条线加在一起，覆盖了从情报窃取到金融盗窃、再到破坏性打击的完整光谱。

在人才培养上，121局的供给高度依赖金策工业综合大学、金日成综合大学等少数顶尖院校，候选人往往从青少年时代便开始接受定向筛选和培训。由于朝鲜国内互联网基础设施极度匮乏，这批人中有相当一部分被派驻中国、东南亚乃至东欧多个城市，以商业名义或技术外包身份作掩护，远程操控网络攻击行动，同时拉长国际溯源链条，显著增加归因难度。

在实际战绩层面，这支力量已经留下了一份分量颇重的记录。2014年11月，索尼影业遭遇严重入侵，大量高管通信和未公映影片内容遭到外泄，美国联邦调查局将矛头指向朝鲜，起因被认为与该公司制作讽刺金正恩影片《刺杀金正恩》有关。2016年2月，孟加拉国央行通过SWIFT系统遭到定点渗透，黑客尝试转移约9.51亿美元，成功截取约8100万美元，资金随后流入菲律宾赌场系统进行洗白处理——这次操作的完整链条和反追踪手法，令国际金融安全界不得不大幅修订对朝鲜技术水准的既有判断。

2017年5月的WannaCry事件在体量上将前几次行动彻底比了下去。这个利用美国国家安全局泄露漏洞工具”永恒之蓝”武装起来的勒索病毒，在短时间内扩散至150余个国家，感染设备超过20万台，英国国民保健系统多家医院预约系统被迫关闭，德国铁路信息显示陷入混乱，西班牙电信、俄罗斯内政部等机构均受到不同程度冲击。美英两国政府在随后数月内陆续将WannaCry定性为朝鲜主导的网络攻击。此次事件的意义在于：它标志着朝鲜网络行动的逻辑发生了根本性转变——从此前的定向精准打击，迈向了具有全球性扰乱效应的规模化破坏行动。

2018年之后，平壤的网络战重心加速向加密货币领域集中，背后的逻辑相当清晰。传统金融渠道每笔跨境异常转账都面临被冻结的风险，而加密资产通过混币器、跨链协议等工具多层处理后，溯源的技术门槛会大幅抬升，更适合作为规避制裁的资金通道。2022年3月，游戏平台Axie Infinity所依赖的Ronin跨链桥遭到定点渗透，约6.25亿美元加密资产在数天内悄然转移，美国财政部随后将其归因于Lazarus Group，这也是有记录以来金额最大的单次加密货币盗窃事件。联合国制裁委员会专家组估算，仅2023年一年，朝鲜通过网络手段盗取的加密资产规模就约在6亿至10亿美元之间。

2024年出现了一个对平壤极为有利的结构性变化：3月28日，俄罗斯在联合国安理会投票中一票否决了对朝鲜制裁监督专家组任务授权的续期提案，这个运作了近15年的独立监察机制随即于当年4月底寿终正寝。这一变化的实质影响是：国际社会对朝鲜制裁执行情况的独立评估出现了重大空缺，平壤网络盗窃所构建的灰色外汇收入渠道，其面临的国际监控压力随之显著下降。

朝俄军事合作的全面深化，是2024年以来东北亚安全格局中最不可回避的一条主线。2024年6月，金正恩与俄方在平壤签署《全面战略伙伴关系条约》，将两国安全合作从此前的默契状态升格为正式制度框架。此后数月，多个可信来源相继确认朝鲜作战人员被部署至俄乌冲突前线库尔斯克方向并参与实战——这意味着朝鲜军队在真实的现代战场条件下积累了此前极度匮乏的实战经验。俄方对价是否涵盖网络技术或电子战装备的转让，目前尚无完整公开证据链，但值得关注的是，2024年底至2025年初朝鲜黑客的攻击手法出现若干新特征：供应链渗透的层级更深、社会工程学攻击包装更为精细，针对欧美企业以IT外包身份进行内部渗透的案例被美国司法部多次提出警示并采取执法行动——这些变化是自身长期积累的结果，还是有外部技术注入的成分，目前难以从公开信息作出定论，但方向本身已足够令人警惕。

站在2026年当下回望，那支黑西装方队从2012年首次亮相至今，已有十四年的演进历程。它所代表的网络作战体系，从最初的能力宣示，到WannaCry的规模验证，再到加密货币盗窃成为制裁规避的稳定工具，每一个阶段都在实质性地改变着国际社会对朝鲜威胁的评估维度。在核导与网络攻击的组合逻辑下，平壤的不对称威慑能力已经积累到一个难以低估的量级，而朝俄轴心的固化和国际制裁监管机制的削弱，正在为这种能力的进一步扩张提供更为宽松的外部环境。

平壤选择让这支队伍穿着西装公开走过检阅台，把自己的隐秘力量暴露在全球镜头之下——这个决定本身就是一道精心设计的信号：用”让你看见”完成一种特殊形式的威慑。你知道这支力量的存在，但很难找到它，也很难拦住它。这种”公开的隐蔽”，是小国在大国博弈格局中寻求战略平衡的一种极具效率的路径，也是读懂朝鲜国家行为逻辑时无法绕过的一个关键注脚。