gouravnagar-infosec/ai-kill-chainUna extensión del lado del defensor de la Cadena de Cibereliminación de Lockheed Martin para amenazas de LLM e IA agéntica. Agrega una etapa de cadena de suministro de modelos y divide las acciones sobre objetivos en exfiltración, extracción de modelos y pivote agéntico.
Una actualización de la Cadena de Muerte Cibernética de Lockheed Martin para defensores que trabajan contra ataques de LLM e IA agéntica. Añade una etapa previa al ataque para el compromiso de la cadena de suministro de modelos. Añade sub-técnicas específicas de IA a cada una de las siete etapas originales. Divide la etapa de Acciones sobre los Objetivos en tres sub-etapas pares: exfiltración de datos clásica, extracción de modelos y pivote agéntico.
Autor: Gourav Nagar Versión: 1.0 Fecha: 19 de mayo de 2026 Repositorio: https://github.com/gouravnagar-infosec/ai-kill-chain
Citar como: Nagar, G. (2026). Extended Cyber Kill Chain for AI-Era Threats (Versión 1.0). Zenodo. https://doi.org/10.5281/zenodo.20349357
La Cadena de Muerte Cibernética de Lockheed Martin ha sido el modelo de trabajo para que los defensores describan una campaña de intrusión desde 2011. Siete etapas desde el reconocimiento hasta las acciones sobre los objetivos. Superficie de ataque de red y endpoint. Atacantes humanos operando herramientas contra objetivos deterministas. Su valor para los defensores es la lógica de disrupción: bloquear cualquiera de las etapas impide que el resto de la cadena se complete.
Los LLM y los agentes de IA no encajan en ese panorama. Los atacantes ahora atacan los pesos de los modelos, los datos de entrenamiento, los prompts del sistema, las descripciones de herramientas. Un documento o una página web puede contener instrucciones que un agente de IA ejecutará como si un usuario las hubiera escrito. Los agentes con acceso a herramientas pueden pivotar a través de relaciones de confianza legítimas sin cargar nunca shellcode.
MITRE ATLAS y el OWASP LLM Top 10 catalogan ambas estas amenazas. ATLAS v5.4.0 (febrero de 2026) tiene 16 tácticas, 84 técnicas y 42 casos de estudio, con una cobertura que llega hasta la inyección indirecta de prompts y el comando y control agéntico. El LLM Top 10 de OWASP de 2025 prioriza diez categorías de riesgo para los desarrolladores de aplicaciones. Ambos están organizados como matrices o listas de riesgos. Ninguno es una cadena de muerte.
Este documento es la vista en forma de cadena de muerte del mismo contenido. Está escrito para analistas de SOC e ingenieros de detección que ya piensan en etapas de cadena de muerte.
Hace tres cosas además de las siete canónicas. Añade una nueva etapa previa al ataque (Etapa 0) para la actividad del adversario contra la propia cadena de suministro de IA. Añade sub-técnicas específicas de IA dentro de cada una de las siete etapas originales, con IDs de EKC para que las reglas de detección y los playbooks del SOC puedan referenciarlas. Y divide la Etapa 7 (Acciones sobre los Objetivos) en tres sub-etapas pares: exfiltración de datos clásica, extracción de modelos y pivote agéntico.
Esto no es un reemplazo de ATLAS u OWASP. Es la vista en forma de cadena de muerte de la misma superficie de amenaza.
La Cadena de Muerte Cibernética original, del artículo de Hutchins, Cloppert y Amin de Lockheed Martin de 2011, divide una intrusión en siete etapas.
| Etapa | Nombre | Qué está haciendo el adversario |
|---|---|---|
| 1 | Reconocimiento | Seleccionando objetivos |
| 2 | Armamentización | Emparejando un exploit con una carga útil |
| 3 | Entrega | Haciendo llegar el arma al objetivo |
| 4 | Explotación | Activándola |
| 5 | Instalación | Implantando persistencia |
| 6 | Comando y Control | Estableciendo un canal de control |
| 7 | Acciones sobre los Objetivos | Logrando la misión |
El modelo es la base de más de una década de práctica de ingeniería de detección, estructura de informes de inteligencia de amenazas y diseño de playbooks de SOC. Un tratamiento extenso del marco y su uso operativo es Nagar y Kumar (2025), Cyber Security Kill Chain: Tactics and Strategies (Packt). Este marco extiende ese libro.
Los supuestos originales se rompen en cuatro puntos para los ataques de la era de la IA.
Los ataques ahora tienen una etapa previa a la red. Un conjunto de datos envenenado o un modelo preentrenado comprometido que reside en un registro público puede comprometer a una organización objetivo antes de que ningún paquete cruce un firewall. La cadena de muerte canónica comienza en el Reconocimiento y no tiene dónde colocar esto.
Los prompts mezclan código y datos. Los LLM no pueden distinguir de forma fiable las instrucciones del contenido. El texto oculto en una página web, un correo electrónico o la descripción de una herramienta puede convertirse en instrucciones que el modelo sigue. Lo que la cadena de muerte trata como etapas separadas de Entrega y Explotación se colapsa en una única primitiva en el caso de la IA: la inyección indirecta de prompts.
Los modelos mismos son ahora objetivos. Los adversarios quieren los pesos, los datos de ajuste fino, los prompts del sistema, las capacidades codificadas en los modelos desplegados. "Exfiltración de datos" subestima esto. La extracción de modelos, la extracción de datos de entrenamiento y la minería de capacidades tienen cada una mecánicas diferentes y necesitan defensas diferentes.
Y los agentes pivotan a través de sus propios permisos. Un agente de IA comprometido con acceso a herramientas (MCP, llamada a funciones, control del navegador) no necesita escalar privilegios ni cargar shellcode. Invoca las herramientas que ya tiene permitido usar. Las mecánicas no son movimiento lateral clásico, pero el efecto sobre un entorno objetivo sí lo es.
