gouravnagar-infosec/ai-kill-chainUne extension côté défenseur de la Cyber Kill Chain de Lockheed Martin pour les menaces LLM et IA agentique. Ajoute une étape de chaîne d'approvisionnement de modèles et divise les actions sur les objectifs en exfiltration, extraction de modèles et pivot agentique.
Une mise à jour de la Cyber Kill Chain de Lockheed Martin pour les défenseurs confrontés aux attaques par LLM et IA agentique. Ajoute une étape de pré-attaque pour la compromission de la chaîne d'approvisionnement des modèles. Ajoute des sous-techniques spécifiques à l'IA à chacune des sept étapes originales. Divise l'étape Actions sur les objectifs en trois sous-étapes homologues : exfiltration classique de données, extraction de modèle et pivot agentique.
Auteur : Gourav Nagar Version : 1.0 Date : 19 mai 2026 Dépôt : https://github.com/gouravnagar-infosec/ai-kill-chain
Citer comme : Nagar, G. (2026). Extended Cyber Kill Chain for AI-Era Threats (Version 1.0). Zenodo. https://doi.org/10.5281/zenodo.20349357
La Cyber Kill Chain de Lockheed Martin est le modèle de référence pour décrire une campagne d'intrusion depuis 2011. Sept étapes, de la reconnaissance aux actions sur les objectifs. Surface d'attaque réseau et endpoint. Attaquants humains opérant des outils contre des cibles déterministes. Sa valeur pour les défenseurs réside dans la logique de perturbation : bloquez une seule étape et le reste de la chaîne ne peut pas s'accomplir.
Les LLM et les agents IA ne correspondent pas à ce tableau. Les attaquants ciblent désormais les poids des modèles, les données d'entraînement, les prompts système, les descriptions d'outils. Un document ou une page web peut contenir des instructions qu'un agent IA exécutera comme si un utilisateur les avait saisies. Les agents disposant d'un accès aux outils peuvent pivoter à travers des relations de confiance légitimes sans jamais charger de shellcode.
MITRE ATLAS et l'OWASP LLM Top 10 cataloguent tous deux ces menaces. ATLAS v5.4.0 (février 2026) compte 16 tactiques, 84 techniques et 42 études de cas, avec une couverture qui s'étend à l'injection indirecte de prompts et à la commande et contrôle agentique. Le LLM Top 10 2025 de l'OWASP hiérarchise dix catégories de risques pour les développeurs d'applications. Les deux sont organisés sous forme de matrices ou de listes de risques. Aucun n'est une kill chain.
Ce document est la vue en forme de kill chain du même contenu. Il est écrit pour les analystes SOC et les ingénieurs en détection qui raisonnent déjà en étapes de kill chain.
Il fait trois choses en plus des sept étapes canoniques. Il ajoute une nouvelle étape de pré-attaque (Étape 0) pour l'activité adverse contre la chaîne d'approvisionnement de l'IA elle-même. Il ajoute des sous-techniques spécifiques à l'IA au sein de chacune des sept étapes originales, avec des identifiants EKC afin que les règles de détection et les playbooks SOC puissent y faire référence. Et il divise l'Étape 7 (Actions sur les objectifs) en trois sous-étapes homologues : exfiltration classique de données, extraction de modèle et pivot agentique.
Ce n'est pas un remplacement d'ATLAS ou d'OWASP. C'est la vue en forme de kill chain de la même surface de menace.
La Cyber Kill Chain originale, issue de l'article de Hutchins, Cloppert et Amin chez Lockheed Martin en 2011, décompose une intrusion en sept étapes.
| Étape | Nom | Ce que fait l'adversaire |
|---|---|---|
| 1 | Reconnaissance | Sélection des cibles |
| 2 | Armement | Association d'un exploit à une charge utile |
| 3 | Livraison | Acheminement de l'arme vers la cible |
| 4 | Exploitation | Déclenchement |
| 5 | Installation | Implantation de la persistance |
| 6 | Commande et contrôle | Établissement d'un canal de contrôle |
| 7 | Actions sur les objectifs | Atteinte de la mission |
Le modèle est à la base de plus d'une décennie de pratique d'ingénierie de détection, de structuration du renseignement sur les menaces et de conception de playbooks SOC. Un ouvrage complet sur le framework et son usage opérationnel est Nagar et Kumar (2025), Cyber Security Kill Chain: Tactics and Strategies (Packt). Ce framework prolonge cet ouvrage.
Les hypothèses originales se brisent en quatre points pour les attaques de l'ère de l'IA.
Les attaques comportent désormais une étape pré-réseau. Un jeu de données empoisonné ou un modèle pré-entraîné compromis présent sur un registre public peut compromettre une organisation cible avant qu'un seul paquet ne franchisse un pare-feu. La kill chain canonique commence à la Reconnaissance et n'a nulle part où placer cela.
Les prompts mélangent code et données. Les LLM ne peuvent pas distinguer de manière fiable les instructions du contenu. Du texte caché dans une page web, un e-mail ou une description d'outil peut devenir des instructions que le modèle suit. Ce que la kill chain traite comme des étapes distinctes de Livraison et d'Exploitation se réduit à une seule primitive dans le cas de l'IA : l'injection indirecte de prompts.
Les modèles eux-mêmes sont désormais des cibles. Les adversaires veulent les poids, les données de fine-tuning, les prompts système, les capacités encodées dans les modèles déployés. « Exfiltration de données » sous-estime cela. L'extraction de modèle, l'extraction de données d'entraînement et l'exploration de capacités ont chacune des mécanismes différents et nécessitent des défenses différentes.
Et les agents pivotent à travers leurs propres permissions. Un agent IA compromis disposant d'un accès aux outils (MCP, appel de fonctions, contrôle du navigateur) n'a pas besoin d'élever ses privilèges ni de charger du shellcode. Il invoque les outils qu'il est déjà autorisé à utiliser. Les mécanismes ne relèvent pas du mouvement latéral classique, mais l'effet sur un environnement cible, si.
