gouravnagar-infosec/ai-kill-chainامتداد من منظور المدافع لسلسلة القتل السيبراني من Lockheed Martin لمواجهة تهديدات LLM والذكاء الاصطناعي الفاعل. يضيف مرحلةً لسلسلة توريد النماذج ويقسم مرحلة الإجراءات على الأهداف إلى تسريب البيانات، واستخراج النموذج، والالتفاف الفاعل.
تحديث لسلسلة القتل السيبراني من Lockheed Martin للمدافعين العاملين ضد هجمات LLM والذكاء الاصطناعي الوكيلي. يضيف مرحلة ما قبل الهجوم لاختراق سلسلة توريد النموذج. يضيف تقنيات فرعية خاصة بالذكاء الاصطناعي لكل مرحلة من المراحل السبع الأصلية. يقسّم مرحلة الإجراءات على الأهداف إلى ثلاث مراحل فرعية متكافئة: تسريب البيانات الكلاسيكي، واستخراج النموذج، والمحور الوكيلي.
المؤلف: Gourav Nagar الإصدار: 1.0 التاريخ: 19 مايو 2026 المستودع: https://github.com/gouravnagar-infosec/ai-kill-chain
الاستشهاد به: Nagar, G. (2026). Extended Cyber Kill Chain for AI-Era Threats (Version 1.0). Zenodo. https://doi.org/10.5281/zenodo.20349357
كانت سلسلة القتل السيبراني من Lockheed Martin النموذج العملي الذي يستخدمه المدافعون لوصف حملة اختراق منذ عام 2011. سبع مراحل من الاستطلاع إلى الإجراءات على الأهداف. سطح هجوم الشبكة ونقاط النهاية. مهاجمون بشريون يشغّلون أدوات ضد أهداف حتمية. قيمتها للمدافعين تكمن في منطق التعطيل: اعترض أي مرحلة واحدة ولن تستطيع بقية السلسلة أن تكتمل.
لا تتناسب نماذج LLM ووكلاء الذكاء الاصطناعي مع تلك الصورة. يستهدف المهاجمون الآن أوزان النماذج، وبيانات التدريب، ومطالبات النظام، وأوصاف الأدوات. يمكن لمستند أو صفحة ويب أن تحمل تعليمات ينفّذها وكيل ذكاء اصطناعي كما لو أن مستخدمًا كتبها. يمكن للوكلاء الذين يمتلكون وصولًا إلى الأدوات أن يتنقلوا عبر علاقات ثقة مشروعة دون تحميل أي شيفرة برمجية على الإطلاق.
كلٌّ من MITRE ATLAS وOWASP LLM Top 10 يفهرس هذه التهديدات. يحتوي ATLAS v5.4.0 (فبراير 2026) على 16 تكتيكًا و84 تقنية و42 دراسة حالة، بتغطية تمتد إلى حقن المطالبات غير المباشر والقيادة والتحكم الوكيلي. تعطي قائمة OWASP لعام 2025 لأهم 10 مخاطر LLM الأولوية لعشر فئات مخاطر لمطوري التطبيقات. كلاهما منظَّم كمصفوفات أو قوائم مخاطر. لا أحدهما سلسلة قتل.
هذا المستند هو الرؤية على شكل سلسلة قتل للمحتوى نفسه. وهو مكتوب لمحللي SOC ومهندسي الكشف الذين يفكرون بالفعل بمنطق مراحل سلسلة القتل.
يفعل ثلاثة أشياء فوق المراحل السبع الأساسية. يضيف مرحلة جديدة ما قبل الهجوم (المرحلة 0) لنشاط الخصم ضد سلسلة توريد الذكاء الاصطناعي نفسها. يضيف تقنيات فرعية خاصة بالذكاء الاصطناعي داخل كل مرحلة من المراحل السبع الأصلية، مع معرّفات EKC حتى تتمكن قواعد الكشف وخطط SOC من الرجوع إليها. ويقسّم المرحلة 7 (الإجراءات على الأهداف) إلى ثلاث مراحل فرعية متكافئة: تسريب البيانات الكلاسيكي، واستخراج النموذج، والمحور الوكيلي.
هذا ليس بديلًا عن ATLAS أو OWASP. إنه الرؤية على شكل سلسلة قتل لسطح التهديد نفسه.
سلسلة القتل السيبراني الأصلية، من ورقة Hutchins وCloppert وAmin لعام 2011 من Lockheed Martin، تقسّم الاختراق إلى سبع مراحل.
| المرحلة | الاسم | ما يفعله الخصم |
|---|---|---|
| 1 | الاستطلاع | اختيار الأهداف |
| 2 | التسليح | إقران ثغرة استغلال بحمولة |
| 3 | التوصيل | إيصال السلاح إلى الهدف |
| 4 | الاستغلال | تفعيله |
| 5 | التثبيت | زرع الاستمرارية |
| 6 | القيادة والتحكم | إنشاء قناة تحكم |
| 7 | الإجراءات على الأهداف | تحقيق المهمة |
النموذج هو أساس أكثر من عقد من ممارسات هندسة الكشف، وهيكل تقارير استخبارات التهديدات، وتصميم خطط SOC. هناك معالجة بطول كتاب للإطار واستخدامه التشغيلي في Nagar وKumar (2025)، Cyber Security Kill Chain: Tactics and Strategies (Packt). هذا الإطار يوسّع ذلك الكتاب.
تنكسر الافتراضات الأصلية في أربعة مواضع في هجمات عصر الذكاء الاصطناعي.
أصبح للهجمات الآن مرحلة ما قبل الشبكة. يمكن لمجموعة بيانات مسمومة أو نموذج مدرَّب مسبقًا مخترق موجود على سجل عام أن يخترق مؤسسة مستهدفة قبل أن يعبر أي حزمة بيانات جدار الحماية. تبدأ سلسلة القتل الأساسية عند الاستطلاع وليس لديها مكان تضع فيه هذا.
تخلط المطالبات بين الشيفرة والبيانات. لا تستطيع نماذج LLM التمييز بشكل موثوق بين التعليمات والمحتوى. يمكن لنص مخفي في صفحة ويب أو بريد إلكتروني أو وصف أداة أن يصبح تعليمات يتبعها النموذج. ما تعتبره سلسلة القتل مرحلتي التوصيل والاستغلال المنفصلتين ينهار إلى بدائية واحدة في حالة الذكاء الاصطناعي: حقن المطالبات غير المباشر.
أصبحت النماذج نفسها أهدافًا الآن. يريد الخصوم الأوزان، وبيانات الضبط الدقيق، ومطالبات النظام، والقدرات المشفّرة في النماذج المنشورة. "تسريب البيانات" يقلل من شأن هذا. استخراج النموذج، واستخراج بيانات التدريب، وتعدين القدرات لكل منها آليات مختلفة وتحتاج إلى دفاعات مختلفة.
ويتنقل الوكلاء عبر أذوناتهم الخاصة. لا يحتاج وكيل ذكاء اصطناعي مخترق يمتلك وصولًا إلى الأدوات (MCP، استدعاء الدوال، التحكم بالمتصفح) إلى تصعيد الامتيازات أو تحميل شيفرة برمجية. إنه يستدعي الأدوات المسموح له باستخدامها بالفعل. الآليات ليست حركة جانبية كلاسيكية، لكن التأثير على بيئة الهدف كذلك.
كان ATLAS يلحق بالركب. أضاف الإصدار v4.9.0 (أبريل 2025) القيادة والتحكم كتكتيك (AML.TA0014). أضاف الإصدار v5.1.0 (نوفمبر 2025) الحركة الجانبية (AML.TA0015). اعتبارًا من v5.4.0 (فبراير 2026) أصبح ATLAS مصفوفة من 16 تكتيكًا بتغطية جيدة للتهديدات الوكيلية، بما في ذلك دراسات حالة لـ SesameOp (AML.CS0042) وOpenClaw (AML.CS0050، AML.CS0051). هذا الإطار لا يوجد لسد الفجوات في ATLAS؛ ATLAS يعمل كمصفوفة. إنه موجود لأن المحتوى نفسه يحتاج إلى أن يكون متاحًا للمدافعين الذين يفكرون بمنطق مراحل سلسلة القتل، مع بقاء منطق تعطيل المراحل الأصلية يقوم بعمله.
flowchart LR
S0["Stage 0<br/><b>Model Supply<br/>Chain Compromise</b><br/><i>NEW</i>"]:::new
S1["Stage 1<br/>Reconnaissance<br/><i>AI-augmented</i>"]:::mod
S2["Stage 2<br/>Weaponization<br/><i>AI-augmented</i>"]:::mod
S3["Stage 3<br/>Delivery<br/><i>AI-augmented</i>"]:::mod
S4["Stage 4<br/>Exploitation<br/><i>AI-augmented</i>"]:::mod
S5["Stage 5<br/>Installation<br/><i>AI-augmented</i>"]:::mod
S6["Stage 6<br/>Command & Control<br/><i>AI-augmented</i>"]:::mod
S7["Stage 7<br/>Actions on Objectives<br/><i>EXPANDED</i>"]:::expanded
S7A["7a. Data Exfiltration<br/><i>classical</i>"]:::expanded
S7B["7b. Model Extraction<br/><i>NEW</i>"]:::new
S7C["7c. Agentic Pivot<br/><i>NEW</i>"]:::new
S0 --> S1 --> S2 --> S3 --> S4 --> S5 --> S6 --> S7
S7 --> S7A
S7 --> S7B
S7 --> S7C
classDef new fill:#ffe6e6,stroke:#cc0000,stroke-width:2px,color:#000
classDef mod fill:#fff4d6,stroke:#cc8800,stroke-width:2px,color:#000
classDef expanded fill:#e6f0ff,stroke:#0044cc,stroke-width:2px,color:#000
الأحمر جديد، والأصفر أصلي مع تقنيات فرعية للذكاء الاصطناعي، والأزرق أصلي لكنه موسّع هيكلياً.