gouravnagar-infosec/ai-kill-chainEine Erweiterung der Lockheed Martin Cyber Kill Chain aus Verteidigersicht für Bedrohungen durch LLMs und agentische KI. Fügt eine Stufe für die Modell-Lieferkette hinzu und teilt Actions-on-Objectives in Exfiltration, Modellextraktion und Agentic Pivot auf.
Eine Aktualisierung der Lockheed Martin Cyber Kill Chain für Verteidiger, die gegen LLM- und agentische KI-Angriffe arbeiten. Fügt eine Vor-Angriffsphase für die Kompromittierung der Modell-Lieferkette hinzu. Fügt KI-spezifische Untertechniken zu jeder der ursprünglichen sieben Phasen hinzu. Teilt die Phase „Actions on Objectives" in drei gleichrangige Unterphasen auf: klassische Datenexfiltration, Modellextraktion und agentische Pivot-Bewegung.
Autor: Gourav Nagar Version: 1.0 Datum: 19. Mai 2026 Repository: https://github.com/gouravnagar-infosec/ai-kill-chain
Zitieren als: Nagar, G. (2026). Extended Cyber Kill Chain for AI-Era Threats (Version 1.0). Zenodo. https://doi.org/10.5281/zenodo.20349357
Die Lockheed Martin Cyber Kill Chain ist seit 2011 das Arbeitsmodell dafür, wie Verteidiger eine Angriffskampagne beschreiben. Sieben Phasen von der Aufklärung bis zu den Actions on Objectives. Netzwerk- und Endpoint-Angriffsfläche. Menschliche Angreifer, die Werkzeuge gegen deterministische Ziele einsetzen. Ihr Wert für Verteidiger liegt in der Unterbrechungslogik: Blockiere eine beliebige Phase, und der Rest der Kette kann nicht abgeschlossen werden.
LLMs und KI-Agenten passen nicht in dieses Bild. Angreifer zielen nun auf Modellgewichte, Trainingsdaten, System-Prompts, Werkzeugbeschreibungen. Ein Dokument oder eine Webseite kann Anweisungen enthalten, die ein KI-Agent ausführt, als hätte ein Benutzer sie eingegeben. Agenten mit Werkzeugzugriff können sich durch legitime Vertrauensbeziehungen bewegen, ohne jemals Shellcode zu laden.
MITRE ATLAS und die OWASP LLM Top 10 katalogisieren beide diese Bedrohungen. ATLAS v5.4.0 (Februar 2026) umfasst 16 Taktiken, 84 Techniken und 42 Fallstudien, mit einer Abdeckung, die bis in indirekte Prompt-Injection und agentisches Command and Control reicht. Die OWASP LLM Top 10 von 2025 priorisiert zehn Risikokategorien für Anwendungsentwickler. Beide sind als Matrizen oder Risikolisten organisiert. Keine von beiden ist eine Kill Chain.
Dieses Dokument ist die kill-chain-förmige Sicht auf denselben Inhalt. Es ist für SOC-Analysten und Detection Engineers geschrieben, die bereits in Kill-Chain-Phasen denken.
Es tut drei Dinge zusätzlich zum kanonischen Sieben-Phasen-Modell. Es fügt eine neue Vor-Angriffsphase (Phase 0) für gegnerische Aktivitäten gegen die KI-Lieferkette selbst hinzu. Es fügt KI-spezifische Untertechniken innerhalb jeder der ursprünglichen sieben Phasen hinzu, mit EKC-IDs, damit Erkennungsregeln und SOC-Playbooks darauf verweisen können. Und es teilt Phase 7 (Actions on Objectives) in drei gleichrangige Unterphasen auf: klassische Datenexfiltration, Modellextraktion und agentische Pivot-Bewegung.
Dies ist kein Ersatz für ATLAS oder OWASP. Es ist die kill-chain-förmige Sicht auf dieselbe Angriffsfläche.
Die ursprüngliche Cyber Kill Chain, aus dem Lockheed-Martin-Papier von Hutchins, Cloppert und Amin aus dem Jahr 2011, unterteilt einen Angriff in sieben Phasen.
| Phase | Name | Was der Angreifer tut |
|---|---|---|
| 1 | Aufklärung | Ziele auswählen |
| 2 | Waffenisierung | Einen Exploit mit einer Nutzlast kombinieren |
| 3 | Zustellung | Die Waffe zum Ziel bringen |
| 4 | Ausnutzung | Sie auslösen |
| 5 | Installation | Persistenz implantieren |
| 6 | Command and Control | Einen Steuerkanal aufbauen |
| 7 | Actions on Objectives | Die Mission erreichen |
Das Modell ist die Grundlage für mehr als ein Jahrzehnt Praxis im Bereich Detection Engineering, für die Struktur von Threat-Intel-Berichten und für die Gestaltung von SOC-Playbooks. Eine buchlange Abhandlung über das Framework und seine operative Nutzung ist Nagar und Kumar (2025), Cyber Security Kill Chain: Tactics and Strategies (Packt). Dieses Framework erweitert jenes Buch.
Die ursprünglichen Annahmen brechen bei Angriffen im KI-Zeitalter an vier Stellen.
Angriffe haben jetzt eine Vor-Netzwerk-Phase. Ein vergifteter Datensatz oder ein kompromittiertes vortrainiertes Modell, das in einer öffentlichen Registry liegt, kann eine Zielorganisation kompromittieren, bevor irgendein Paket eine Firewall überquert. Die kanonische Kill Chain beginnt bei der Aufklärung und hat keinen Platz dafür.
Prompts vermischen Code und Daten. LLMs können Anweisungen nicht zuverlässig von Inhalten unterscheiden. Versteckter Text in einer Webseite, einer E-Mail oder einer Werkzeugbeschreibung kann zu Anweisungen werden, die das Modell befolgt. Was die Kill Chain als getrennte Phasen Zustellung und Ausnutzung behandelt, fällt im KI-Fall zu einem einzigen Primitiv zusammen: indirekte Prompt-Injection.
Modelle selbst sind nun Ziele. Angreifer wollen die Gewichte, die Fine-Tuning-Daten, die System-Prompts, die in eingesetzten Modellen kodierten Fähigkeiten. „Datenexfiltration" beschreibt dies unzureichend. Modellextraktion, Trainingsdaten-Extraktion und Capability Mining haben jeweils unterschiedliche Mechanismen und erfordern unterschiedliche Verteidigungen.
Und Agenten bewegen sich durch ihre eigenen Berechtigungen. Ein kompromittierter KI-Agent mit Werkzeugzugriff (MCP, Function Calling, Browser-Steuerung) muss keine Privilegien eskalieren oder Shellcode laden. Er ruft die Werkzeuge auf, die er bereits verwenden darf. Die Mechanismen sind keine klassische laterale Bewegung, aber die Wirkung auf eine Zielumgebung ist es.
ATLAS hat aufgeholt. v4.9.0 (April 2025) fügte Command and Control als Taktik hinzu (AML.TA0014). v5.1.0 (November 2025) fügte Lateral Movement hinzu (AML.TA0015). Mit Stand v5.4.0 (Februar 2026) ist ATLAS eine 16-Taktiken-Matrix mit guter Abdeckung agentischer Bedrohungen, einschließlich Fallstudien zu SesameOp (AML.CS0042) und OpenClaw (AML.CS0050, AML.CS0051). Dieses Framework existiert nicht, um Lücken in ATLAS zu füllen; ATLAS funktioniert als Matrix. Es existiert, weil derselbe Inhalt für Verteidiger verfügbar sein muss, die in Kill-Chain-Phasen denken, wobei die ursprüngliche Phasen-Unterbrechungslogik weiterhin die Arbeit leistet.
