S0 --> S1 --> S2 --> S3 --> S4 --> S5 --> S6 --> S7
S7 --> S7A
S7 --> S7B
S7 --> S7C

classDef new fill:#ffe6e6,stroke:#cc0000,stroke-width:2px,color:#000
classDef mod fill:#fff4d6,stroke:#cc8800,stroke-width:2px,color:#000
classDef expanded fill:#e6f0ff,stroke:#0044cc,stroke-width:2px,color:#000

Rot ist neu, Gelb ist das Original mit KI-Sub-Techniken, Blau ist das Original, aber strukturell erweitert.

Das Framework ergänzt das ursprüngliche Sieben-Stufen-Modell um drei Dinge. Eine neue Pre-Attack-Stufe 0 steht vor der Aufklärung und deckt Angreiferaktivitäten gegen die KI-Lieferkette ab. Jede ursprüngliche Stufe erhält eigene KI-spezifische Sub-Techniken mit EKC-IDs, damit Erkennungsregeln und Bedrohungsberichte darauf verweisen können. Stufe 7 teilt sich in drei gleichrangige Sub-Stufen: Die klassische Exfiltration bleibt als 7a bestehen, daneben kommen Model Extraction (7b) und Agentic Pivot (7c) hinzu. Dies sind keine Varianten der Exfiltration. Es sind eigenständige Angreiferziele, die eigene Kontrollen benötigen.

## Spezifikation der einzelnen Stufen

Jede Stufenspezifikation unten deckt vier Dinge ab. Was der Angreifer tut. Die KI-spezifischen Sub-Techniken (mit `EKC`-IDs, die in Erkennungsregeln und Bedrohungsberichten zitiert werden können). Die Erkennungssignale, auf die ein Verteidiger reagieren kann. Die Gegenmaßnahmen.

### Stufe 0. Kompromittierung der Modell-Lieferkette (neu)

**Was der Angreifer tut.** Er kompromittiert ein Modell, einen Datensatz, einen Fine-Tuning-Adapter oder einen Vertriebskanal, den die Zielorganisation später in ihre eigenen KI-Systeme übernimmt. Der Angreifer berührt das Netzwerk des Ziels nie. Er platziert die Kompromittierung in der Lieferkette und wartet.

**Sub-Techniken.**

| ID | Sub-Technik | Beschreibung |
|----|---------------|-------------|
| EKC-0.1 | Vergiftung von Trainingsdaten | Injizieren manipulierter Beispiele in einen öffentlichen Datensatz, ein aus dem Web gescraptes Korpus oder eine Labeling-Pipeline, die zukünftige Trainingsläufe übernehmen. |
| EKC-0.2 | Backdoor im Fine-Tuning | Verteilen eines Fine-Tuning-Adapters, LoRA oder vollständigen Modell-Checkpoints mit einem versteckten Trigger-Verhaltens-Paar. |
| EKC-0.3 | Trojaner im vortrainierten Modell | Veröffentlichen eines bösartigen Modells in einem öffentlichen Registry (Hugging Face, Ollama Library, GitHub) unter einem plausiblen Namen oder durch Typosquatting eines echten Namens. |
| EKC-0.4 | Manipulation von Tokenizer oder Vorverarbeitung | Verändern von Tokenisierungs-, Normalisierungs- oder Feature-Extraktionscode in einer vorgelagerten Abhängigkeit, um einen verdeckten Eingabekanal hinzuzufügen. |
| EKC-0.5 | Bösartiger MCP-Server oder Tool-Katalogeintrag | Veröffentlichen einer Tool-Beschreibung, eines MCP-Server-Manifests oder einer Funktionsdefinition, die dazu bestimmt ist, von nachgelagerten Agenten aufgerufen zu werden und diese durch Prompt-Injection in der Tool-Beschreibung selbst auszunutzen. |

**Erkennungssignale.**
- Herkunftslücken bei bereitgestellten Modell-Artefakten (kein signiertes Manifest, keine bekannte Trainingsdaten-Herkunft).
- Abweichung kryptografischer Hashes zwischen einem heute aus einem Registry gezogenen Modell und demselben Identifikator, der zu einem früheren Zeitpunkt gezogen wurde.
- Tool-Beschreibungen von Drittanbieter-MCP-Servern, die ungewöhnlich langen, anweisungsähnlichen Text oder nicht druckbare Zeichen enthalten.
- Anomale Neuron-Aktivierungsverteilungen in einem bereitgestellten Modell, wenn es mit einer kuratierten Trigger-Suite getestet wird.

**Primäre Gegenmaßnahmen.**
- Führen Sie eine Modell-Stückliste (M-BOM) für jedes bereitgestellte Modell, einschließlich Basis-Modellidentität, Hash-Werte der Fine-Tuning-Daten und Adapter-Herkunft.
- Modell-Artefakte signieren und verifizieren. Bestimmte Commit-Hashes für im Registry gehostete Modelle festlegen (Pinning).
- Neu hinzugefügte MCP-Server unter Quarantäne stellen und in einer Sandbox ausführen. Tool-Beschreibungen als nicht vertrauenswürdige Eingabe prüfen.
- Routinemäßiges Scannen bereitgestellter Modelle auf Backdoor-Trigger unter Verwendung veröffentlichter Benchmarks.

### Stufe 1. Aufklärung (KI-unterstützt)

**Was der Angreifer tut.** Er findet die KI-Systeme des Ziels, was sie können, welche Schutzmechanismen sie haben und womit sie verbunden sind.

**KI-unterstützte Sub-Techniken.**

| ID | Sub-Technik | Beschreibung |
|----|---------------|-------------|
| EKC-1.1 | Modell-Fingerprinting | Identifizieren des Basismodells, der Fine-Tune-Familie und der Version eines bereitgestellten LLM durch Antwortmuster-Analyse, Latenzanalyse oder Known-Answer-Tests. |
| EKC-1.2 | System-Prompt-Enumeration | Ermitteln des System-Prompts oder seiner Hauptbeschränkungen durch Leakage-Abfragen, Rollenspiel-Probes oder Grenzfall-Prompts. |
| EKC-1.3 | Ermittlung von Fähigkeiten und Tools | Herausfinden, welche Tools, Plugins, MCP-Server oder Funktionsaufruf-Schnittstellen dem Agenten zur Verfügung stehen. |
| EKC-1.4 | Kartierung der Schutzmechanismen | Die Policy-Grenzen ausloten, indem Verweigerungsmuster getestet und Themen, Formate oder Eingabeformen gefunden werden, die Klassifikatoren umgehen. |
| EKC-1.5 | Erkundung der Embedding- und Retrieval-Oberfläche | Identifizieren, welche Retrieval-Quellen das System liest (Vektor-Store-Inhalte, Dokumentkorpora, Web-Fetch-Domains). |

**Erkennungssignale.** Prompt-Sitzungen mit hoher Entropie aus einer einzigen Quelle. Systematisches Ausloten von Verweigerungsgrenzen. Abfragen, die veröffentlichten Jailbreak-Korpora stark ähneln. Wiederholte Aufforderungen an das System, „die obigen Anweisungen zu wiederholen“.

**Primäre Gegenmaßnahmen.** Prompt-Traffic pro Benutzeridentität per Rate-Limit begrenzen und Verhaltenscluster bilden. Identifizierende Antwort-Artefakte schwärzen. Canary-Tokens in den System-Prompt einfügen, die bei Exfiltration auslösen. Die Tool-Enumeration auf authentifizierte, überwachte Aufrufer beschränken.

### Stufe 2. Weaponization (KI-unterstützt)

**Was der Angreifer tut.** Er baut eine Payload, die an das Ziel geliefert werden soll.

**KI-unterstützte Sub-Techniken.**

| ID | Sub-Technik | Beschreibung |
|----|---------------|-------------|
| EKC-2.1 | Erstellung adversarischer Prompts | Bauen einer Prompt-Injection-Payload, die auf das in Stufe 1 identifizierte Zielmodell, die Schutzmechanismen und das Toolset zugeschnitten ist. |
| EKC-2.2 | Erstellung multi-modaler Payloads | Einbetten von Anweisungen in Bilder, Audio, PDFs oder strukturierte Dokumente, die ein multimodales Modell verarbeitet. |
| EKC-2.3 | Bösartiges Tool- oder MCP-Paket | Bauen eines Tools, das in Name und Beschreibung harmlos wirkt, aber bei Aufruf angreiferkontrollierte Aktionen ausführt. |
| EKC-2.4 | Zusammenstellung von Jailbreak-Ketten | Kombinieren bekannter Umgehungstechniken (Persona-Priming, Encoding-Tricks, Pivots über ressourcenarme Sprachen, strukturiertes Rollenspiel) zu einer einzigen Payload, die mehrschichtige Schutzmechanismen überwindet. |
| EKC-2.5 | KI-generierte polymorphe Malware | Verwendung eines Modells zur Erzeugung semantisch äquivalenter, aber lexikalisch unterschiedlicher Malware-Varianten, die signaturbasierte Erkennung umgehen. |

**Erkennungssignale.** Pattern-Matches gegen bekannte Marker indirekter Injection in eingehenden Inhalten. Bild-, PDF- und Audioanalyse auf steganografische Anweisungen. Statische Analyse neu registrierter MCP-Pakete.

### Stufe 3. Zustellung (KI-unterstützt)

**Was der Angreifer tut.** Er bringt die Payload zum KI-System oder dessen Betreiber.

**KI-unterstützte Sub-Techniken.**

| ID | Sub-Technik | Beschreibung |
|----|---------------|-------------|
| EKC-3.1 | Indirekte Prompt-Injection über Webinhalte | Ein Browser- oder Web-Fetch-Agent ruft eine angreiferkontrollierte Seite mit darin enthaltenen Anweisungen ab. |
| EKC-3.2 | Vergiftung des RAG-Korpus | Ein Angreifer reicht Inhalte ein (über Support-Tickets, öffentliche Dokumente, Code-Beiträge oder Vektor-Store-Ingestion), die später als Kontext für ein LLM abgerufen werden. |
| EKC-3.3 | Injection über E-Mail oder Nachrichten | Anweisungen in einer E-Mail, die ein KI-Assistent lesen oder zusammenfassen soll. |
| EKC-3.4 | Injection über Dokumente | Anweisungen in PDFs, Tabellenkalkulationen oder Office-Dokumenten, die von einem KI-Workflow verarbeitet werden. |
| EKC-3.5 | Vergiftung von Tool-Beschreibungen | Anweisungen in den Beschreibungen oder Schemata von MCP-Tools oder Funktionsdefinitionen, die dem Agenten ausgesetzt sind. |
| EKC-3.6 | Injection über Bilder, Audio oder QR-Codes | Anweisungen, die in nicht-textuellen Modalitäten kodiert sind und von einem multimodalen Agenten verarbeitet werden. |

**Erkennungssignale.** Anomaler anweisungsähnlicher Text in nicht vertrauenswürdigen Inhaltsströmen. Hohe Entropie in Alpha-Kanälen und Metadaten von Bildern für multimodale Pipelines. Unerwartete Sprachwechsel in abgerufenen Dokumenten.

### Stufe 4. Exploitation (KI-unterstützt)

**Was der Angreifer tut.** Er löst die Payload aus. In KI-Begriffen: Er bringt das Modell dazu, den Anweisungen des Angreifers zu folgen oder seine Policy zu verletzen.

**KI-unterstützte Sub-Techniken.**

| ID | Sub-Technik | Beschreibung |
|----|---------------|-------------|
| EKC-4.1 | Erfolgreiche direkte Prompt-Injection | Der benutzerorientierte Prompt erreicht die Policy-Verletzung des Angreifers. |
| EKC-4.2 | Erfolgreiche indirekte Prompt-Injection | Über Stufe 3 gelieferte Anweisungen werden vom Modell befolgt, wenn die Inhalte verarbeitet werden. |
| EKC-4.3 | Tool-Aufruf durch verwirrten Stellvertreter (Confused Deputy) | Das Modell ruft ein privilegiertes Tool im Namen des Angreifers auf und nutzt dabei die eigenen Berechtigungen des Agenten. |
| EKC-4.4 | Umgehung von Schutzmechanismen oder Klassifikatoren | Ein Sicherheitsklassifikator oder regelbasierter Filter wird umgangen, sodass unerlaubte Inhalte erzeugt oder unerlaubte Aktionen ausgeführt werden. |
| EKC-4.5 | Verschmutzung von Gedächtnis oder Kontext | Ein persistenter Speicher wird mit angreiferkontrollierten Inhalten aktualisiert, die zukünftige Sitzungen beeinflussen. |

**Erkennungssignale.** Tool-Aufrufe, deren Argumente aus nicht vertrauenswürdigen Eingabestrings stammen. Ausgaben, die Canary-Tokens aus dem System-Prompt enthalten. Große Abweichungen im Gesprächszustand, die durch ein einzelnes abgerufenes Dokument verursacht werden.

### Stufe 5. Installation (KI-unterstützt)

**Was der Angreifer tut.** Er richtet Persistenz ein, sodass die Kompromittierung eine einzelne Sitzung überdauert.

**KI-unterstützte Sub-Techniken.**

| ID | Sub-Technik | Beschreibung |
|----|---------------|-------------|
| EKC-5.1 | Persistenter Gedächtnis-Implantat | Injektion von Inhalten in das Langzeitgedächtnis, Benutzerpräferenz-Speicher oder pro-Konto-Kontext, die in zukünftigen Sitzungen neu geladen werden. |
| EKC-5.2 | Überschreiben des System-Prompts | Modifizieren eines Custom GPT, einer Assistentenkonfiguration oder einer Agentendefinition, um Angreiferanweisungen in den System-Prompt einzubetten. |
| EKC-5.3 | Installation bösartiger Konnektoren | Dafür sorgen, dass ein Benutzer oder Administrator einen angreiferkontrollierten MCP-Server, ein Plugin oder eine Browser-Erweiterung installiert, die dem Angreifer einen persistenten Fußpunkt verschafft. |
| EKC-5.4 | Persistenz im RAG-Korpus | Sicherstellen, dass vergiftete Dokumente über Re-Indexierungsvorgänge hinweg im Vektor-Store bleiben. |
| EKC-5.5 | Kontamination gespeicherter Skills oder Workflows | Modifizieren eines gespeicherten Skills, einer Automatisierung oder eines gespeicherten Workflows, den der Agent lädt und planmäßig oder auf Abruf ausführt. |

**Erkennungssignale.** Neue Einträge in Speichern, die keiner legitimen Benutzeraktion zugeordnet werden können. Unautorisierte Änderungen an System-Prompts, Custom GPTs oder gespeicherten Skills. Neu registrierte MCP-Endpunkte. Vektor-Store-Ingestion-Ereignisse außerhalb der erwarteten Pipelines.

### Stufe 6. Command and Control (KI-unterstützt)

**Was der Angreifer tut.** Er hält einen interaktiven oder zeitgesteuerten Kanal, über den er weitere Aktivitäten steuern kann.

KI-Agenten führen neue C2-Kanäle ein. ATLAS deckt einige davon inzwischen ab (z. B. AI Service API AML.T0096; die Fallstudie SesameOp AML.CS0042 dokumentiert die Nutzung der OpenAI Assistants API als C2-Infrastruktur). Die folgenden Sub-Techniken organisieren dieselben Phänomene als Kill-Chain-Phasen.

**KI-unterstützte Sub-Techniken.**

| ID | Sub-Technik | Beschreibung |
|----|---------------|-------------|
| EKC-6.1 | LLM-Kanal als C2 | Kodieren von Befehlen in scheinbar harmlosen Benutzer-Prompts, abgerufenen Dokumenten oder Tool-Ausgaben, die der Agent planmäßig liest. |
| EKC-6.2 | Speichervermitteltes C2 | Nutzung des Langzeitgedächtnisses des Agenten als toter Briefkasten (Dead Drop). Der Angreifer schreibt Anweisungen über einen Einstiegspunkt in den Speicher, der Agent handelt nach ihnen über einen anderen. |
| EKC-6.3 | RAG-vermitteltes C2 | Aktualisieren eines vergifteten Dokuments im Vektor-Store, um neue Anweisungen zu liefern. Der Agent ruft sie bei der nächsten relevanten Abfrage ab. |
| EKC-6.4 | C2 über Tool-Ausgaben | Ein kompromittierter MCP-Server liefert bei jedem Aufruf anweisungshaltige Antworten und steuert so das anschließende Verhalten des Agenten. |
| EKC-6.5 | Sitzungsübergreifendes steganografisches C2 | Kodieren von Befehls-Payloads in Feldern, die der Agent zwischen Sitzungen weitergibt (Benutzernotizen, Projektbeschreibungen, Ticketkommentare), wo sie der Inhaltsklassifizierung entgehen, weil jedes Fragment für sich harmlos aussieht. |

**Erkennungssignale.** Konversationsgraphen-Analyse, die zeigt, dass Anweisungen wiederholt aus derselben abgerufenen Quelle stammen. Ausgaben externer Tools mit imperativer Sprache, die nicht zum dokumentierten Zweck des Tools passen. Entropieanalyse auf Agent-zu-Agent-Feldern.

### Stufe 7. Aktionen auf Zielen (erweitert)

**Was der Angreifer tut.** Er erreicht das Missionsziel. Stufe 7 teilt sich in drei gleichrangige Sub-Stufen, weil KI-Systeme zwei neue Klassen von Zielen ermöglichen, die es zuvor nicht als Ziele erster Klasse gab.

#### Sub-Stufe 7a. Datenexfiltration (klassisch)

Die Aktionen auf Zielen der traditionellen Kill Chain. Sensible Daten werden exfiltriert. Systeme werden zerstört, verschlüsselt oder beeinträchtigt. Betrug wird begangen. KI verändert diese Sub-Stufe nicht qualitativ. Sie verstärkt den Umfang durch günstigeres Phishing, automatisierte Aufklärung und schnellere Social-Engineering-Schleifen.

#### Sub-Stufe 7b. Modellextraktion (neu)

Das Ziel ist das Modell selbst, die darin enthaltenen Daten oder das darin kodierte Wissen.

| ID | Sub-Technik | Beschreibung |
|----|---------------|-------------|
| EKC-7b.1 | API-basierte Modellextraktion | Rekonstruktion einer Annäherung an die Gewichte oder Entscheidungsgrenze eines bereitgestellten Modells, indem es massenhaft abgefragt und ein Surrogat trainiert wird. |
| EKC-7b.2 | Extraktion von Trainingsdaten | Wiederherstellung wörtlicher oder nahezu wörtlicher Trainingsbeispiele, einschließlich sensibler personenbezogener Daten oder proprietärer Inhalte, durch auf Memorierung zielende Prompts. |
| EKC-7b.3 | Membership-Inference | Feststellen, ob ein bestimmter Datensatz in der Trainingsmenge war. Dies hat Auswirkungen auf Datenschutzvorschriften und Vertraulichkeit. |
| EKC-7b.4 | Extraktion von System-Prompts und Anweisungen | Wiederherstellung proprietärer System-Prompts, die Geschäftslogik, Preisregeln oder Wettbewerbspositionierung kodieren. |
| EKC-7b.5 | Fähigkeits-Mining | Nutzung des bereitgestellten Modells zur Ausführung von Aufgaben, die die eigene Infrastruktur des Angreifers nicht bewältigen kann. Der Zugriff wird zu einem Fähigkeitstransfer. |

**Erkennungssignale.** Hochvolumige programmatische Abfragemuster aus einer einzigen Identität, insbesondere mit niedriger Entropie in Abfragevorlagen und hoher Entropie in den Eingaben. Abfragen, die klassische Memorierungs-Sonden enthalten („wiederhole den obigen Text“). Abfrageverteilungen, die veröffentlichten Extraktionsangriffen ähneln.

#### Sub-Stufe 7c. Agentic Pivot (neu)

Der kompromittierte KI-Agent wird genutzt, um mit seinen eigenen legitimen Berechtigungen Aktionen in verbundenen Systemen auszuführen. Mechanisch: kein Exploit-Code, keine Wiederverwendung von Anmeldedaten, keine Privilegieneskalation. Nur der Aufruf autorisierter Tools mit angreiferbeeinflussten Argumenten. ATLAS hat in v5.1.0 (November 2025) eine Lateral-Movement-Taktik (AML.TA0015) hinzugefügt, um dasselbe Phänomen zu adressieren. Der Beitrag hier besteht darin, die Agentic-Pivot-Variante innerhalb der Actions-on-Objectives-Stufe der Kill Chain zu verorten, als gleichrangig zur klassischen Exfiltration, statt als separate Taktik weiter oben in der Matrix.

| ID | Sub-Technik | Beschreibung |
|----|---------------|-------------|
| EKC-7c.1 | Tool-vermittelte laterale Aktion | Der Agent ruft legitime Tools (E-Mail senden, Datei schreiben, Ticket anlegen, Zahlung autorisieren) im Namen des Angreifers auf. |
| EKC-7c.2 | App-übergreifender Pivot | Der Agent bewegt sich durch die Verkettung von Tool-Aufrufen von einer verbundenen Anwendung zur nächsten (Kalender zu CRM zu Zahlungsabwicklung). |
| EKC-7c.3 | Identitätsverwechslungsangriff | Der Agent handelt in einem Kontext, in dem nachgelagerte Systeme seine Aktionen als Aktionen eines privilegierten Benutzers behandeln und damit Privilegien gewähren, die der Angreifer nicht direkt besitzt. |
| EKC-7c.4 | Rekursiver Agentenmissbrauch | Ein kompromittierter Agent ruft andere Agenten auf und verbreitet die Kompromittierung über ein Agenten-Netzwerk, ohne klassische laterale Bewegung. |
| EKC-7c.5 | Workflow-Bewaffnung | Eine gespeicherte Automatisierung oder ein geplanter Workflow führt die gewünschte Aktion des Angreifers wiederkehrend aus. |

**Erkennungssignale.** Tool-Aufrufe, deren Argumente Inhalte enthalten, die auf nicht vertrauenswürdige vorgelagerte Quellen zurückzuführen sind. Tool-Aufrufgraphen, die Vertrauensgrenzen überschreiten, die nie durch eine menschliche Aktion überschritten wurden. Spitzen bei app-übergreifenden Aufrufen pro Sitzung. Von Agenten initiierte ausgehende Kommunikation an Empfänger, die in keiner früheren Konversationshistorie vorkommen.

## Beziehung zu MITRE ATLAS, OWASP LLM Top 10, NIST AI RMF

Die EKC ergänzt bestehende KI-Sicherheitsframeworks. Sie ersetzt keines von ihnen.

ATLAS ist der beste Vergleich. ATLAS ist eine Adversary-Tactics-Matrix, die nach dem Vorbild von ATT&CK modelliert und als parallele Taxonomie für KI-Systeme strukturiert ist. Stand v5.4.0 (Februar 2026) umfasst sie 16 Taktiken, 84 Techniken, 56 Sub-Techniken, 32 Gegenmaßnahmen und 42 Fallstudien. Die für dieses Framework relevante Entwicklung: v4.9.0 (April 2025) fügte Command and Control (AML.TA0014) hinzu, und v5.1.0 (November 2025) fügte Lateral Movement (AML.TA0015) hinzu. ATLAS ist als Matrix organisiert. Die EKC bietet die Kill-Chain-sequenzierte Sicht auf dieselbe Bedrohungsoberfläche. Die meisten EKC-Sub-Techniken bilden sich auf eine oder mehrere ATLAS-Techniken ab; siehe [`mappings/mitre-atlas-mapping.md`](https://github.com/gouravnagar-infosec/ai-kill-chain/blob/main/mappings/mitre-atlas-mapping.md). Nutzen Sie beide: EKC für Verteidiger, die in Kill-Chain-Phasen denken, ATLAS für Red Teams und Threat-Intel-Analysten, die in Taktik-Technik-Matrizen denken.

Die OWASP Top 10 für LLM-Anwendungen (2025), veröffentlicht im November 2024 vom OWASP GenAI Security Project, ist eine Liste zur Risikopriorisierung für Anwendungsentwickler. Ihre zehn Kategorien sind: Prompt Injection (LLM01), Sensitive Information Disclosure (LLM02), Supply Chain (LLM03), Data and Model Poisoning (LLM04), Improper Output Handling (LLM05), Excessive Agency (LLM06), System Prompt Leakage (LLM07), Vector and Embedding Weaknesses (LLM08), Misinformation (LLM09) und Unbounded Consumption (LLM10). Die Liste ist nach Risikokategorien organisiert. Sie gibt nicht an, wo in einem Angriff jedes Risiko ausgenutzt wird. Die Mapping-Datei der EKC (`mappings/owasp-llm-mapping.md`) liefert diese Sicht: jede OWASP-Kategorie, abgebildet auf die EKC-Stufen, in denen die Schwachstelle operativ wird.

Das NIST AI Risk Management Framework (AI RMF 1.0) arbeitet auf einer anderen Ebene. Es bietet vier Governance-Funktionen (Govern, Map, Measure, Manage) für KI-Risiken. Das zugehörige Generative-AI-Profil (NIST AI 600-1, Juli 2024) katalogisiert zwölf für generative KI spezifische Risikokategorien mit über 200 vorgeschlagenen Maßnahmen. Dies sind programmatische Risikomanagement-Frameworks, keine Angreifermodelle. Die EKC liefert die Angreifer-Details, die die Map- und Measure-Funktionen des NIST RMF benötigen, um operativ vollständig zu sein.

ATT&CK bleibt das maßgebliche Adversary-Tactics-Framework für Nicht-KI-Cyberoperationen. Die Stufen 1 bis 7 der EKC sind vollständig kompatibel mit den ATT&CK-Techniken, die in diesen Stufen verwendet werden. Die EKC fügt dieser Kompatibilität KI-spezifische Sub-Techniken hinzu, ohne zu versuchen, die Abdeckung klassischen Angreiferverhaltens durch ATT&CK zu ersetzen.

## Ausgearbeitete Fallstudien

[`examples/case-studies.md`](https://github.com/gouravnagar-infosec/ai-kill-chain/blob/main/examples/case-studies.md) führt vier Szenarien Ende-zu-Ende durch die Kill Chain:

1. Indirekte Prompt-Injection eines Browser-Agenten. Eine öffentliche Webseite enthält Anweisungen, die das Tool-Nutzungsverhalten des Agenten kapern, um die Inhalte der offenen Tabs des Benutzers zu exfiltrieren.
2. Kompromittierung eines MCP-Servers. Ein in einem öffentlichen Registry veröffentlichter Drittanbieter-MCP-Server enthält eine Backdoor in seinen Tool-Beschreibungen, die auslöst, wenn ein nachgelagerter Agent ein bestimmtes Thema abfragt.
3. Vergiftung des RAG-Korpus eines Unternehmensassistenten. Ein Angreifer reicht ein Support-Ticket ein, dessen Inhalte in das RAG-Korpus des Unternehmens aufgenommen und später von einem internen Assistenten abgerufen werden, wodurch dieser sensible Konfiguration offenlegt.
4. API-basierte Modellextraktion gegen ein proprietäres Domänenmodell. Ein Wettbewerber nutzt authentifizierten API-Zugriff, um ein feinjustiertes Domänenmodell massenhaft abzufragen und ein Surrogat zu trainieren, das einen Großteil seines Verhaltens nachbildet.

Jede Fallstudie ordnet beobachtetes Angreiferverhalten spezifischen EKC-Sub-Techniken-IDs zu und identifiziert die Erkennungssignale, die die Aktivität am frühesten aufgedeckt hätten.

## Hinweise zu Erkennung und Gegenmaßnahmen

Die Logik der Kill-Chain-Unterbrechung überträgt sich: Eine Stufe durchbrechen, die Kette durchbrechen. Verteidigerteams sollten Kontrollen über die Stufen verteilen, statt sie an einem Punkt zu konzentrieren.

Kontrollen mit der höchsten Hebelwirkung nach Stufe:- **Stufe 0.** Modell-Stückliste. Signierte Artefakte. Registry-Pinning. Regelmäßige Backdoor-Sondierung.
- **Stufe 1.** Verhaltensanalytik für Prompt-Traffic. Canary-Token in Systemprompts. Ratenbegrenzung für abfrageähnliche Anfragen.
- **Stufen 2 und 3.** Erkennung indirekter Injektionen bei jedem nicht vertrauenswürdigen eingehenden Inhaltsstrom: Web, E-Mail, RAG-Korpus, MCP-Toolbeschreibungen, multimodale Eingaben.
- **Stufe 4.** Ablaufverfolgung der Herkunft von Tool-Aufrufargumenten. Jede Tool-Invokation, deren Argumente aus nicht vertrauenswürdigem Text stammen, gilt standardmäßig als hochriskant.
- **Stufe 5.** Prüfprotokolle für Speicherschreibvorgänge. Änderungskontrolle für Systemprompts und gespeicherte Fähigkeiten. Attestierung auf MCP-Endpunkten.
- **Stufe 6.** Konversationsgraphen-Analyse zur Aufdeckung wiederkehrender Anweisungsquellen. Entropieanalyse auf Agent-zu-Agent-Feldern.
- **Stufe 7a.** Klassische DLP, Überwachung, Segmentierung.
- **Stufe 7b.** Abfragemuster-Analytik. Memorierungs-Sonden in Red-Team-Suiten. Wasserzeichen für Modellausgaben.
- **Stufe 7c.** Begrenzung des Schadensradius pro Tool. Human-in-the-Loop bei wirkungsvollen Tools. Überprüfung der Identitätsweitergabe: Weiß das nachgelagerte System, dass es im Auftrag eines Agents handelt und nicht eines Benutzers?

## Originalitätserklärung

Was dieses Framework gegenüber früheren Arbeiten beiträgt:

1. Eine Kill-Chain-sequenzierte Integration von KI-Ära-Bedrohungen mit dem Lockheed-Martin-Modell. Der zeitliche Ablauf und die Stufen-Unterbrechungslogik, um die Verteidiger-Teams seit über einem Jahrzehnt ihre Operationen aufbauen, bleiben erhalten. MITRE ATLAS, die OWASP LLM Top 10 und das NIST AI RMF sind alle als Matrizen oder Risikoprioritätslisten organisiert; keines davon ist eine Kill Chain.
2. Stufe 0 (Model Supply Chain Compromise) als einzige Vorangriffsstufe. Vergiftung von Trainingsdaten, Hintertüren durch Feintuning, bösartige Verteilung von Modellen und Adaptern sowie die Kompromittierung von Tool-Katalogen werden hier zu einer sequenziellen Stufe zusammengeführt, die den kanonischen sieben vorausgeht. ATLAS verteilt gleichwertige Techniken auf die Taktiken Resource Development, Initial Access und ML Model Access. Die Rahmung als einstufige Phase ist der Beitrag.
3. Stufe 7 aufgeteilt in drei gleichrangige Unterstufen. Model Extraction (7b) und Agentic Pivot (7c) werden innerhalb der Stufe „Actions on Objectives" als gleichwertige Gegnerziele neben der klassischen Datenerfiltration (7a) benannt. Dies unterstützt das Design von SOC-Playbooks, die bereits entlang der Sieben-Stufen-Struktur laufen.
4. Das `EKC-x.y`-Sub-Technik-ID-Schema. Die IDs sind dafür ausgelegt, in Erkennungsregeln, Bedrohungsberichten und SOC-Dokumentation referenziert zu werden, mit Eins-zu-viele-Querverweisen auf MITRE-ATLAS-Techniken und OWASP-LLM-Top-10-Kategorien.
5. Eine durchgehend verteidigerseitige Rahmung. Das Framework ist für Detection Engineering und den SOC-Einsatz optimiert, wobei die Kill-Chain-Stufe die Analyseeinheit ist, und nicht für Red-Team-Taxonomie oder Risikokategorisierung, die als Matrizen besser geeignet sind.

Das Framework baut auf der Lockheed Martin Cyber Kill Chain (Hutchins, Cloppert und Amin, 2011) und auf der operativen Behandlung in Nagar und Kumar (2025) auf. Die ursprüngliche Sieben-Stufen-Struktur bleibt erhalten. ATLAS und die OWASP LLM Top 10 bleiben erhalten. Dies ist die Kill-Chain-Sicht auf dieselbe Bedrohungsoberfläche, für das Publikum, das bereits in diesen Begriffen arbeitet.

## Zitierweise

Empfohlene Zitierung (APA):

> Nagar, G. (2026). *Extended Cyber Kill Chain for AI-Era Threats* (Version 1.0) [Framework]. Zenodo. https://doi.org/10.5281/zenodo.20349357

BibTeX:```bibtex
@misc{nagar2026extendedkillchain,
  author       = {Nagar, Gourav},
  title        = {Extended Cyber Kill Chain for {AI}-Era Threats},
  year         = {2026},
  month        = {5},
  version      = {1.0},
  publisher    = {Zenodo},
  doi          = {10.5281/zenodo.20349357},
  url          = {https://doi.org/10.5281/zenodo.20349357},
  howpublished = {\url{https://doi.org/10.5281/zenodo.20349357}},
  note         = {Extends the kill-chain treatment in Nagar and Kumar (2025), Cyber Security Kill Chain: Tactics and Strategies, Packt Publishing.}
}