S0 --> S1 --> S2 --> S3 --> S4 --> S5 --> S6 --> S7
S7 --> S7A
S7 --> S7B
S7 --> S7C

classDef new fill:#ffe6e6,stroke:#cc0000,stroke-width:2px,color:#000
classDef mod fill:#fff4d6,stroke:#cc8800,stroke-width:2px,color:#000
classDef expanded fill:#e6f0ff,stroke:#0044cc,stroke-width:2px,color:#000

लाल नया है, पीला मूल है जिसमें AI उप-तकनीकें हैं, नीला मूल है लेकिन संरचनात्मक रूप से विस्तारित।

यह फ्रेमवर्क मूल सात-चरणों में तीन चीज़ें जोड़ता है। Reconnaissance से पहले एक नया प्री-अटैक Stage 0 रखा गया है, जो AI आपूर्ति श्रृंखला के विरुद्ध प्रतिद्वंद्वी गतिविधि को कवर करता है। प्रत्येक मूल चरण अपनी स्वयं की AI-विशिष्ट उप-तकनीकें EKC IDs के साथ जोड़ता है, ताकि डिटेक्शन नियम और ख़तरे की रिपोर्ट उन्हें संदर्भित कर सकें। Stage 7 तीन समकक्ष उप-चरणों में विभाजित हो जाता है: शास्त्रीय एक्सफ़िल्ट्रेशन 7a के रूप में यथावत रहता है, और इसके साथ Model Extraction (7b) तथा Agentic Pivot (7c) जोड़े गए हैं। ये एक्सफ़िल्ट्रेशन के प्रकार नहीं हैं। ये अलग प्रतिद्वंद्वी उद्देश्य हैं जिनके लिए अपने स्वयं के नियंत्रण आवश्यक हैं।

## चरण-दर-चरण विनिर्देश

नीचे प्रत्येक चरण विनिर्देश चार चीज़ों को कवर करता है। प्रतिद्वंद्वी क्या कर रहा है। AI-विशिष्ट उप-तकनीकें (`EKC` IDs के साथ जिन्हें डिटेक्शन नियमों और ख़तरे की रिपोर्टों में उद्धृत किया जा सकता है)। डिटेक्शन सिग्नल जिन पर डिफ़ेंडर कार्रवाई कर सकता है। शमन।

### Stage 0. मॉडल आपूर्ति श्रृंखला समझौता (नया)

**प्रतिद्वंद्वी क्या कर रहा है।** किसी मॉडल, डेटासेट, फ़ाइन-ट्यूनिंग एडेप्टर, या वितरण चैनल से समझौता करना, जिसे लक्षित संगठन बाद में अपनी AI प्रणालियों में शामिल करेगा। प्रतिद्वंद्वी लक्ष्य के नेटवर्क को कभी नहीं छूता। वे समझौते को आपूर्ति श्रृंखला में डाल देते हैं और प्रतीक्षा करते हैं।

**उप-तकनीकें।**

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-0.1 | प्रशिक्षण डेटा विषाक्तीकरण | भविष्य के प्रशिक्षण रनों द्वारा उपयोग किए जाने वाले सार्वजनिक डेटासेट, वेब-स्क्रैप किए गए कॉर्पस, या लेबलिंग पाइपलाइन में हेरफेर किए गए उदाहरण डालना। |
| EKC-0.2 | फ़ाइन-ट्यूनिंग बैकडोर | छिपे हुए ट्रिगर-और-व्यवहार जोड़े के साथ एक फ़ाइन-ट्यूनिंग एडेप्टर, LoRA, या पूर्ण-मॉडल चेकपॉइंट वितरित करना। |
| EKC-0.3 | प्री-ट्रेंड मॉडल ट्रोजन | किसी वास्तविक मॉडल के नाम की टाइपोस्क्वैटिंग करके या प्रशंसनीय नाम के तहत किसी सार्वजनिक रजिस्ट्री (Hugging Face, Ollama Library, GitHub) पर दुर्भावनापूर्ण मॉडल प्रकाशित करना। |
| EKC-0.4 | टोकनाइज़र या प्रीप्रोसेसिंग हेरफेर | गुप्त इनपुट चैनल जोड़ने के लिए अपस्ट्रीम निर्भरता में टोकनाइज़ेशन, नॉर्मलाइज़ेशन, या फ़ीचर-एक्सट्रैक्शन कोड को बदलना। |
| EKC-0.5 | दुर्भावनापूर्ण MCP सर्वर या टूल कैटलॉग प्रविष्टि | एक टूल विवरण, MCP सर्वर मैनिफ़ेस्ट, या फ़ंक्शन परिभाषा प्रकाशित करना जिसे डाउनस्ट्रीम एजेंटों द्वारा आह्वान करने के लिए डिज़ाइन किया गया है और टूल विवरण में ही प्रॉम्प्ट इंजेक्शन के माध्यम से उनका शोषण करना। |

**डिटेक्शन सिग्नल।**
- परिनियोजित मॉडल आर्टिफैक्ट्स में प्रोवेनेंस अंतराल (कोई हस्ताक्षरित मैनिफ़ेस्ट नहीं, कोई ज्ञात प्रशिक्षण-डेटा वंशावली नहीं)।
- आज किसी रजिस्ट्री से खींचे गए मॉडल और पिछली तारीख़ को खींचे गए समान पहचानकर्ता के बीच क्रिप्टोग्राफ़िक हैश विचलन।
- तृतीय-पक्ष MCP सर्वरों से टूल विवरण जिनमें असामान्य रूप से लंबा, निर्देश-जैसा पाठ या गैर-मुद्रण योग्य वर्ण हों।
- जब क्यूरेटेड ट्रिगर सुइट से जांच की जाती है तो परिनियोजित मॉडल में असामान्य न्यूरॉन-सक्रियण वितरण।

**प्राथमिक शमन।**
- प्रत्येक परिनियोजित मॉडल के लिए मॉडल बिल ऑफ़ मैटेरियल्स (M-BOM) रखें, जिसमें बेस मॉडल पहचान, फ़ाइन-ट्यूनिंग डेटा हैश, और एडेप्टर प्रोवेनेंस शामिल हो।
- मॉडल आर्टिफैक्ट्स पर हस्ताक्षर करें और सत्यापित करें। रजिस्ट्री-होस्टेड मॉडलों के लिए विशिष्ट कमिट हैश पिन करें।
- नए जोड़े गए MCP सर्वरों को क्वारंटाइन और सैंडबॉक्स करें। टूल विवरणों को अविश्वसनीय इनपुट के रूप में समीक्षा करें।
- प्रकाशित बेंचमार्क का उपयोग करके परिनियोजित मॉडलों पर नियमित बैकडोर-ट्रिगर स्कैनिंग।

### Stage 1. टोह (AI-संवर्धित)

**प्रतिद्वंद्वी क्या कर रहा है।** लक्ष्य की AI प्रणालियों का पता लगाना, वे क्या कर सकती हैं, उनकी गार्डरेल्स क्या हैं, और वे किससे जुड़ती हैं।

**AI-संवर्धित उप-तकनीकें।**

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-1.1 | मॉडल फ़िंगरप्रिंटिंग | प्रतिक्रिया-शैली प्रोबिंग, विलंबता विश्लेषण, या ज्ञात-उत्तर परीक्षणों के माध्यम से परिनियोजित LLM के बेस मॉडल, फ़ाइन-ट्यून परिवार, और संस्करण की पहचान करना। |
| EKC-1.2 | सिस्टम प्रॉम्प्ट एन्यूमरेशन | सिस्टम प्रॉम्प्ट या उसकी मुख्य बाधाओं को पुनर्प्राप्त करने के लिए लीकेज क्वेरी, रोल-प्ले प्रोब्स, या बाउंड्री-केस प्रॉम्प्ट का उपयोग करना। |
| EKC-1.3 | क्षमता और टूल एन्यूमरेशन | पता लगाना कि एजेंट के पास किन टूल्स, प्लगइन्स, MCP सर्वरों, या फ़ंक्शन-कॉल इंटरफ़ेस तक पहुँच है। |
| EKC-1.4 | गार्डरेल मैपिंग | अस्वीकृति पैटर्न की जांच करके और उन विषयों, प्रारूपों, या इनपुट आकृतियों को खोजकर नीति सीमा का मानचित्रण करना जो क्लासिफायर को बायपास करते हैं। |
| EKC-1.5 | एम्बेडिंग और रिट्रीवल सतह की खोज | पहचानना कि सिस्टम किन रिट्रीवल स्रोतों से पढ़ता है (वेक्टर स्टोर सामग्री, दस्तावेज़ कॉर्पस, वेब फ़ेच डोमेन)। |

**डिटेक्शन सिग्नल।** एकल स्रोत से उच्च-एंट्रॉपी प्रॉम्प्ट सत्र। अस्वीकृति सीमाओं की व्यवस्थित खोज। प्रकाशित जेलब्रेक कॉर्पस से निकटता से मेल खाने वाली क्वेरी। सिस्टम से "ऊपर दिए गए निर्देशों को दोहराएं" के लिए बार-बार अनुरोध।

**प्राथमिक शमन।** प्रति उपयोगकर्ता पहचान दर-सीमा और व्यवहार-क्लस्टर प्रॉम्प्ट ट्रैफ़िक। पहचान करने वाले प्रतिक्रिया आर्टिफैक्ट्स को रिडैक्ट करें। सिस्टम प्रॉम्प्ट में कैनरी टोकन जोड़ें जो एक्सफ़िल्ट्रेशन पर सक्रिय हों। टूल एन्यूमरेशन को प्रमाणित, लेखापरीक्षित कॉलर्स तक सीमित करें।

### Stage 2. हथियारीकरण (AI-संवर्धित)

**प्रतिद्वंद्वी क्या कर रहा है।** एक पेलोड बनाना जो लक्ष्य तक पहुँचाया जाएगा।

**AI-संवर्धित उप-तकनीकें।**

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-2.1 | विरोधात्मक प्रॉम्प्ट निर्माण | Stage 1 से फ़िंगरप्रिंट किए गए लक्ष्य मॉडल, गार्डरेल्स, और टूलसेट के अनुरूप एक प्रॉम्प्ट-इंजेक्शन पेलोड तैयार करना। |
| EKC-2.2 | मल्टी-मॉडल पेलोड निर्माण | छवियों, ऑडियो, PDF, या संरचित दस्तावेज़ों में निर्देश एम्बेड करना जिन्हें एक मल्टी-मॉडल मॉडल पार्स करेगा। |
| EKC-2.3 | दुर्भावनापूर्ण टूल या MCP पैकेज | एक ऐसा टूल बनाना जो नाम और विवरण में हानिरहित दिखता है लेकिन आह्वान करने पर हमलावर-नियंत्रित क्रियाएँ निष्पादित करता है। |
| EKC-2.4 | जेलब्रेक श्रृंखला संयोजन | ज्ञात बायपास तकनीकों (व्यक्तित्व प्राइमिंग, एन्कोडिंग ट्रिक्स, कम-संसाधन भाषा पिवट्स, संरचित रोल-प्ले) को एक ही पेलोड में संयोजित करना जो स्तरित गार्डरेल्स को पराजित करता है। |
| EKC-2.5 | AI-जनित पॉलीमॉर्फिक मैलवेयर | सिग्नेचर-आधारित डिटेक्शन से बचने के लिए एक मॉडल का उपयोग करके अर्थ-समतुल्य लेकिन शाब्दिक रूप से विविध मैलवेयर वेरिएंट तैयार करना। |

**डिटेक्शन सिग्नल।** इनबाउंड सामग्री में ज्ञात अप्रत्यक्ष-इंजेक्शन मार्करों के विरुद्ध पैटर्न मेल। स्टेग्नोग्राफ़िक निर्देशों के लिए छवि, PDF, और ऑडियो विश्लेषण। नए पंजीकृत MCP पैकेजों का स्थिर विश्लेषण।

### Stage 3. वितरण (AI-संवर्धित)

**प्रतिद्वंद्वी क्या कर रहा है।** पेलोड को AI प्रणाली या उसके ऑपरेटर तक पहुँचाना।

**AI-संवर्धित उप-तकनीकें।**

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-3.1 | वेब सामग्री के माध्यम से अप्रत्यक्ष प्रॉम्प्ट इंजेक्शन | एक ब्राउज़िंग या वेब-फ़ेचिंग एजेंट उसमें निर्देशों के साथ एक हमलावर-नियंत्रित पृष्ठ पुनर्प्राप्त करता है। |
| EKC-3.2 | RAG कॉर्पस विषाक्तीकरण | एक हमलावर ऐसी सामग्री प्रस्तुत करता है (सहायता टिकटों, सार्वजनिक दस्तावेज़ों, कोड योगदान, या वेक्टर-स्टोर इंजेशन के माध्यम से) जिसे बाद में LLM के लिए संदर्भ के रूप में पुनर्प्राप्त किया जाएगा। |
| EKC-3.3 | ईमेल या संदेश-वाहित इंजेक्शन | एक ईमेल में रखे गए निर्देश जिन्हें पढ़ने या सारांशित करने के लिए एक AI सहायक कॉन्फ़िगर किया गया है। |
| EKC-3.4 | दस्तावेज़-वाहित इंजेक्शन | AI वर्कफ़्लो द्वारा संसाधित PDF, स्प्रेडशीट, या ऑफ़िस दस्तावेज़ों में रखे गए निर्देश। |
| EKC-3.5 | टूल-विवरण विषाक्तीकरण | एजेंट को उजागर किए गए MCP टूल्स या फ़ंक्शन परिभाषाओं के विवरणों या स्कीमा में रखे गए निर्देश। |
| EKC-3.6 | छवि, ऑडियो, या QR-कोड इंजेक्शन | गैर-पाठ्य माध्यमों में एन्कोड किए गए निर्देश जिन्हें एक मल्टी-मॉडल एजेंट संसाधित करेगा। |

**डिटेक्शन सिग्नल।** अविश्वसनीय सामग्री धाराओं में असामान्य निर्देश-जैसा पाठ। मल्टी-मॉडल पाइपलाइनों के लिए छवि अल्फा चैनलों और मेटाडेटा में उच्च एंट्रॉपी। पुनर्प्राप्त दस्तावेज़ों के अंदर अप्रत्याशित भाषा परिवर्तन।

### Stage 4. शोषण (AI-संवर्धित)

**प्रतिद्वंद्वी क्या कर रहा है।** पेलोड को ट्रिगर करना। AI शब्दों में: मॉडल को हमलावर के निर्देशों का पालन करने या अपनी नीति का उल्लंघन करने के लिए प्राप्त करना।

**AI-संवर्धित उप-तकनीकें।**

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-4.1 | प्रत्यक्ष प्रॉम्प्ट इंजेक्शन सफलता | उपयोगकर्ता-सामना करने वाला प्रॉम्प्ट हमलावर की नीति उल्लंघन को प्राप्त करता है। |
| EKC-4.2 | अप्रत्यक्ष प्रॉम्प्ट इंजेक्शन सफलता | Stage 3 के माध्यम से वितरित निर्देशों का पालन मॉडल द्वारा तब किया जाता है जब सामग्री संसाधित होती है। |
| EKC-4.3 | कन्फ्यूज़्ड-डेप्युटी टूल आह्वान | मॉडल हमलावर की ओर से, एजेंट की अपनी अनुमतियों का उपयोग करके, एक विशेषाधिकार प्राप्त टूल का आह्वान करता है। |
| EKC-4.4 | गार्डरेल या क्लासिफायर बायपास | एक सुरक्षा क्लासिफायर या नियम-आधारित फ़िल्टर को इस प्रकार बायपास किया जाता है कि निषिद्ध सामग्री उत्पन्न हो या निषिद्ध क्रियाएँ की जाएँ। |
| EKC-4.5 | मेमोरी या संदर्भ प्रदूषण | एक स्थायी मेमोरी स्टोर को हमलावर-नियंत्रित सामग्री के साथ अद्यतन किया जाता है जो भविष्य के सत्रों को प्रभावित करेगी। |

**डिटेक्शन सिग्नल।** टूल आह्वान जिनके तर्क अविश्वसनीय इनपुट स्ट्रिंग्स से प्राप्त होते हैं। ऐसे आउटपुट जिनमें सिस्टम प्रॉम्प्ट से कैनरी टोकन शामिल हों। एकल पुनर्प्राप्त दस्तावेज़ के कारण वार्तालाप स्थिति में बड़े-चरणीय विचलन।

### Stage 5. स्थापना (AI-संवर्धित)

**प्रतिद्वंद्वी क्या कर रहा है।** स्थायित्व स्थापित करना ताकि समझौता एक सत्र से अधिक समय तक बना रहे।

**AI-संवर्धित उप-तकनीकें।**

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-5.1 | स्थायी मेमोरी इम्प्लांट | दीर्घकालिक मेमोरी, उपयोगकर्ता प्राथमिकता स्टोर, या प्रति-खाता संदर्भ में सामग्री इंजेक्ट करना जो भविष्य के सत्रों में पुनः लोड होगी। |
| EKC-5.2 | सिस्टम प्रॉम्प्ट ओवरराइड | अपने सिस्टम प्रॉम्प्ट में हमलावर निर्देशों को एम्बेड करने के लिए कस्टम GPT, सहायक कॉन्फ़िगरेशन, या एजेंट परिभाषा को संशोधित करना। |
| EKC-5.3 | दुर्भावनापूर्ण कनेक्टर स्थापना | किसी उपयोगकर्ता या व्यवस्थापक को हमलावर-नियंत्रित MCP सर्वर, प्लगइन, या ब्राउज़र एक्सटेंशन स्थापित करने हेतु प्रेरित करना जो हमलावर को स्थायी पैठ देता है। |
| EKC-5.4 | RAG कॉर्पस स्थायित्व | सुनिश्चित करना कि विषाक्त दस्तावेज़ पुनः-अनुक्रमण कार्यों के दौरान वेक्टर स्टोर में बने रहें। |
| EKC-5.5 | संग्रहीत कौशल या वर्कफ़्लो संदूषण | किसी संग्रहीत कौशल, स्वचालन, या सहेजे गए वर्कफ़्लो को संशोधित करना जिसे एजेंट एक अनुसूची पर या मांग पर लोड और निष्पादित करेगा। |

**डिटेक्शन सिग्नल।** मेमोरी स्टोर में नई प्रविष्टियाँ जो किसी वैध उपयोगकर्ता क्रिया के कारण नहीं हैं। सिस्टम प्रॉम्प्ट, कस्टम GPT, या सहेजे गए कौशल में अनधिकृत परिवर्तन। नए पंजीकृत MCP एंडपॉइंट। अपेक्षित पाइपलाइनों के बाहर वेक्टर-स्टोर इंजेशन घटनाएँ।

### Stage 6. कमांड और नियंत्रण (AI-संवर्धित)

**प्रतिद्वंद्वी क्या कर रहा है।** एक इंटरैक्टिव या अनुसूचित चैनल बनाए रखना जो उन्हें आगे की गतिविधि को निर्देशित करने देता है।

AI एजेंट नए C2 चैनल पेश करते हैं। ATLAS अब इनमें से कुछ को कवर करता है (उदाहरण के लिए, AI Service API AML.T0096; SesameOp केस स्टडी AML.CS0042 दस्तावेज़ित करती है कि OpenAI Assistants API को C2 इंफ्रास्ट्रक्चर के रूप में उपयोग किया जा रहा है)। नीचे दी गई उप-तकनीकें उन्हीं घटनाओं को किल-चेन चरणों के रूप में व्यवस्थित करती हैं।

**AI-संवर्धित उप-तकनीकें।**

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-6.1 | LLM चैनल C2 के रूप में | प्रतीत होने वाले हानिरहित उपयोगकर्ता प्रॉम्प्ट, पुनर्प्राप्त दस्तावेज़ों, या टूल आउटपुट में कमांड एन्कोड करना जिन्हें एजेंट एक अनुसूची पर पढ़ता है। |
| EKC-6.2 | मेमोरी-मध्यस्थ C2 | एजेंट के दीर्घकालिक मेमोरी स्टोर को डेड-ड्रॉप के रूप में उपयोग करना। हमलावर एक प्रवेश बिंदु के माध्यम से मेमोरी में निर्देश लिखता है, एजेंट उन पर दूसरे के माध्यम से कार्रवाई करता है। |
| EKC-6.3 | RAG-मध्यस्थ C2 | नए निर्देश देने के लिए वेक्टर स्टोर में एक विषाक्त दस्तावेज़ को अद्यतन करना। एजेंट उन्हें अगली प्रासंगिक क्वेरी पर पुनर्प्राप्त करता है। |
| EKC-6.4 | टूल-आउटपुट C2 | एक समझौता किया गया MCP सर्वर प्रत्येक आह्वान पर निर्देश-युक्त प्रतिक्रियाएँ लौटाता है, एजेंट के बाद के व्यवहार को निर्देशित करता है। |
| EKC-6.5 | क्रॉस-सत्र स्टेग्नोग्राफ़िक C2 | कमांड पेलोड को उन फ़ील्ड्स में एन्कोड करना जिन्हें एजेंट सत्रों के बीच पारित करता है (उपयोगकर्ता नोट्स, परियोजना विवरण, टिकट टिप्पणियाँ), जहाँ वे सामग्री वर्गीकरण से बचते हैं क्योंकि प्रत्येक खंड अपने आप में हानिरहित दिखता है। |

**डिटेक्शन सिग्नल।** वार्तालाप-ग्राफ़ विश्लेषण यह दर्शाता है कि निर्देश बार-बार एक ही पुनर्प्राप्त स्रोत से आ रहे हैं। बाहरी टूल्स से आउटपुट जिनमें टूल के प्रलेखित उद्देश्य के साथ असंगत अनिवार्य भाषा हो। एजेंट-से-एजेंट फ़ील्ड्स पर एंट्रॉपी विश्लेषण।

### Stage 7. उद्देश्यों पर कार्रवाई (विस्तारित)

**प्रतिद्वंद्वी क्या कर रहा है।** मिशन को प्राप्त करना। Stage 7 तीन समकक्ष उप-चरणों में विभाजित होता है क्योंकि AI प्रणालियाँ उद्देश्यों के दो नए वर्गों को व्यवहार्य बनाती हैं जो पहले प्रथम-श्रेणी के लक्ष्यों के रूप में विद्यमान नहीं थे।

#### उप-चरण 7a. डेटा एक्सफ़िल्ट्रेशन (शास्त्रीय)

पारंपरिक किल-चेन के उद्देश्यों पर क्रियाएँ। संवेदनशील डेटा बाहर निकाला जाता है। सिस्टम नष्ट, एन्क्रिप्ट, या क्षीण किए जाते हैं। धोखाधड़ी की जाती है। AI इस उप-चरण को गुणात्मक रूप से नहीं बदलता। यह सस्ते फ़िशिंग, स्वचालित टोही, और तेज़ सोशल-इंजीनियरिंग लूप्स के माध्यम से पैमाने को बढ़ाता है।

#### उप-चरण 7b. मॉडल निष्कर्षण (नया)

लक्ष्य स्वयं मॉडल है, उसके अंदर का डेटा, या उसमें एन्कोड किया गया ज्ञान।

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-7b.1 | API-आधारित मॉडल निष्कर्षण | बड़े पैमाने पर क्वेरी करके और एक सरोगेट प्रशिक्षित करके परिनियोजित मॉडल के भार या निर्णय सीमा का अनुमान पुनर्निर्मित करना। |
| EKC-7b.2 | प्रशिक्षण-डेटा निष्कर्षण | स्मरण-लक्षित प्रॉम्प्ट्स के माध्यम से संवेदनशील PII या स्वामित्व सामग्री सहित प्रशिक्षण उदाहरणों को शब्दशः या लगभग-शब्दशः पुनर्प्राप्त करना। |
| EKC-7b.3 | सदस्यता अनुमान | निर्धारित करना कि क्या कोई विशिष्ट रिकॉर्ड प्रशिक्षण सेट में था। इसके गोपनीयता विनियमन और गोपनीयता के लिए डाउनस्ट्रीम निहितार्थ हैं। |
| EKC-7b.4 | सिस्टम प्रॉम्प्ट और निर्देश निष्कर्षण | व्यावसायिक तर्क, मूल्य निर्धारण नियम, या प्रतिस्पर्धी स्थिति को एन्कोड करने वाले स्वामित्व सिस्टम प्रॉम्प्ट्स को पुनर्प्राप्त करना। |
| EKC-7b.5 | क्षमता खनन | हमलावर के अपने इंफ्रास्ट्रक्चर द्वारा न किए जा सकने वाले कार्यों को करने के लिए परिनियोजित मॉडल का उपयोग करना। पहुँच एक क्षमता हस्तांतरण बन जाती है। |

**डिटेक्शन सिग्नल।** एकल पहचान से उच्च-मात्रा प्रोग्रामेटिक क्वेरी पैटर्न, विशेष रूप से क्वेरी टेम्पलेट्स में कम एंट्रॉपी और इनपुट में उच्च एंट्रॉपी के साथ। ऐसी क्वेरी जिनमें शास्त्रीय स्मरण प्रोब्स हों ("ऊपर दिया गया पाठ दोहराएं")। प्रकाशित निष्कर्षण आक्रमणों से मिलती-जुलती क्वेरी वितरण।

#### उप-चरण 7c. एजेंटिक पिवट (नया)

समझौता किया गया AI एजेंट अपनी स्वयं की वैध अनुमतियों का उपयोग करके जुड़े सिस्टम में कार्रवाई करने के लिए उपयोग किया जाता है। यांत्रिक रूप से: कोई एक्सप्लॉइट कोड नहीं, कोई क्रेडेंशियल पुन: उपयोग नहीं, कोई विशेषाधिकार वृद्धि नहीं। केवल हमलावर-प्रभावित तर्कों के साथ अधिकृत टूल्स का आह्वान। ATLAS ने उसी घटना को संबोधित करने के लिए v5.1.0 (नवंबर 2025) में एक Lateral Movement रणनीति (AML.TA0015) जोड़ी। यहाँ योगदान एजेंटिक-पिवट वेरिएंट को मैट्रिक्स में पहले एक अलग रणनीति के रूप में नहीं, बल्कि किल-चेन के उद्देश्यों पर कार्रवाई चरण के अंदर, शास्त्रीय एक्सफ़िल्ट्रेशन के समकक्ष के रूप में रखना है।

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-7c.1 | टूल-मध्यस्थ पार्श्व कार्रवाई | एजेंट हमलावर की ओर से वैध टूल्स (ईमेल भेजना, फ़ाइल लिखना, टिकट निर्माण, भुगतान प्राधिकरण) का आह्वान करता है। |
| EKC-7c.2 | क्रॉस-ऐप पिवट | एजेंट टूल कॉल को श्रृंखलित करके एक जुड़े हुए एप्लिकेशन से दूसरे (कैलेंडर से CRM से भुगतान प्रोसेसर तक) जाता है। |
| EKC-7c.3 | पहचान भ्रम आक्रमण | एजेंट ऐसे संदर्भ में कार्य करता है जहाँ डाउनस्ट्रीम सिस्टम उसकी क्रियाओं को एक विशेषाधिकार प्राप्त उपयोगकर्ता की क्रियाओं के रूप में मानते हैं, ऐसे विशेषाधिकार प्रदान करते हैं जो हमलावर के पास सीधे नहीं होते। |
| EKC-7c.4 | पुनरावर्ती एजेंट दुरुपयोग | एक समझौता किया गया एजेंट अन्य एजेंटों का आह्वान करता है, शास्त्रीय पार्श्व संचलन के बिना एजेंट फैब्रिक में समझौते का प्रसार करता है। |
| EKC-7c.5 | वर्कफ़्लो हथियारीकरण | एक संग्रहीत स्वचालन या अनुसूचित वर्कफ़्लो हमलावर के इच्छित कार्रवाई को आवर्ती आधार पर चलाता है। |

**डिटेक्शन सिग्नल।** ऐसे टूल कॉल जिनके तर्कों में अविश्वसनीय अपस्ट्रीम स्रोतों से पता लगाने योग्य सामग्री हो। टूल-कॉल ग्राफ़ जो उन विश्वास सीमाओं को पार करते हैं जिन्हें किसी मानव क्रिया ने पार नहीं किया। प्रति सत्र क्रॉस-एप्लिकेशन कॉल में स्पाइक्स। एजेंटों द्वारा उन प्राप्तकर्ताओं को शुरू की गई आउटबाउंड संचार जो किसी पूर्व वार्तालाप इतिहास में नहीं हैं।

## MITRE ATLAS, OWASP LLM Top 10, NIST AI RMF से संबंध

EKC मौजूदा AI-सुरक्षा फ्रेमवर्कों का पूरक है। यह उनमें से किसी को प्रतिस्थापित नहीं करता।

ATLAS सबसे निकट तुलना है। ATLAS ATT&CK पर आधारित एक प्रतिद्वंद्वी-रणनीति मैट्रिक्स है, जो AI प्रणालियों के लिए एक समानांतर वर्गीकरण के रूप में संरचित है। v5.4.0 (फरवरी 2026) तक इसमें 16 रणनीतियाँ, 84 तकनीकें, 56 उप-तकनीकें, 32 शमन, और 42 केस स्टडीज़ हैं। इस फ्रेमवर्क के लिए प्रासंगिक विकास: v4.9.0 (अप्रैल 2025) ने Command and Control (AML.TA0014) जोड़ा, और v5.1.0 (नवंबर 2025) ने Lateral Movement (AML.TA0015) जोड़ा। ATLAS एक मैट्रिक्स के रूप में व्यवस्थित है। EKC उसी ख़तरे की सतह का किल-चेन-अनुक्रमित दृश्य प्रदान करता है। अधिकांश EKC उप-तकनीकें एक या अधिक ATLAS तकनीकों से मैप होती हैं; देखें [`mappings/mitre-atlas-mapping.md`](https://github.com/gouravnagar-infosec/ai-kill-chain/blob/main/mappings/mitre-atlas-mapping.md)। दोनों का उपयोग करें: उन डिफ़ेंडरों के लिए EKC जो किल-चेन चरणों में तर्क करते हैं, और रेड टीमरों और ख़तरा-खुफिया विश्लेषकों के लिए ATLAS जो रणनीति-तकनीक मैट्रिक्स में तर्क करते हैं।

OWASP Top 10 for LLM Applications (2025), जिसे नवंबर 2024 में OWASP GenAI Security Project द्वारा प्रकाशित किया गया था, एप्लिकेशन डेवलपर्स के लिए एक जोखिम-प्राथमिकता सूची है। इसकी दस श्रेणियाँ हैं: प्रॉम्प्ट इंजेक्शन (LLM01), संवेदनशील सूचना प्रकटीकरण (LLM02), आपूर्ति श्रृंखला (LLM03), डेटा और मॉडल विषाक्तीकरण (LLM04), अनुचित आउटपुट हैंडलिंग (LLM05), अत्यधिक एजेंसी (LLM06), सिस्टम प्रॉम्प्ट लीकेज (LLM07), वेक्टर और एम्बेडिंग कमजोरियाँ (LLM08), गलत सूचना (LLM09), और असीमित खपत (LLM10)। सूची जोखिम श्रेणी द्वारा व्यवस्थित है। यह निर्दिष्ट नहीं करती कि किसी आक्रमण में प्रत्येक जोखिम का शोषण कहाँ होता है। EKC की मैपिंग फ़ाइल (`mappings/owasp-llm-mapping.md`) वह दृश्य प्रदान करती है: प्रत्येक OWASP श्रेणी EKC चरणों से मैप की गई है जहाँ कमजोरी परिचालन बन जाती है।

NIST AI Risk Management Framework (AI RMF 1.0) एक अलग स्तर पर कार्य करता है। यह AI जोखिम के लिए चार शासन कार्य (Govern, Map, Measure, Manage) प्रदान करता है। संबद्ध Generative AI Profile (NIST AI 600-1, जुलाई 2024) जनरेटिव AI के लिए विशिष्ट बारह जोखिम श्रेणियों को 200 से अधिक सुझाई गई क्रियाओं के साथ सूचीबद्ध करता है। ये प्रोग्रामेटिक जोखिम-प्रबंधन फ्रेमवर्क हैं, प्रतिद्वंद्वी मॉडल नहीं। EKC प्रतिद्वंद्वी-पक्षीय विवरण प्रदान करता है जिसकी NIST RMF के Map और Measure कार्यों को परिचालन रूप से पूर्ण होने के लिए आवश्यकता होती है।

ATT&CK गैर-AI साइबर संचालन के लिए विहित प्रतिद्वंद्वी-रणनीति फ्रेमवर्क बना हुआ है। EKC के Stage 1 से 7 उन चरणों में उपयोग की जाने वाली ATT&CK तकनीकों के साथ पूर्ण रूप से संगत हैं। EKC उस संगतता के ऊपर AI-विशिष्ट उप-तकनीकें जोड़ता है, बिना ATT&CK के शास्त्रीय प्रतिद्वंद्वी व्यवहार के कवरेज को प्रतिस्थापित करने का प्रयास किए।

## विस्तृत केस स्टडीज़

[`examples/case-studies.md`](https://github.com/gouravnagar-infosec/ai-kill-chain/blob/main/examples/case-studies.md) चार परिदृश्यों को किल-चेन के माध्यम से शुरू से अंत तक ले जाता है:

1. ब्राउज़िंग एजेंट का अप्रत्यक्ष प्रॉम्प्ट इंजेक्शन। एक सार्वजनिक वेब पेज में निर्देश होते हैं जो उपयोगकर्ता के खुले-टैब सामग्री को बाहर निकालने के लिए एजेंट के टूल-उपयोग व्यवहार को हाईजैक करते हैं।
2. MCP सर्वर समझौता। एक सार्वजनिक रजिस्ट्री पर प्रकाशित तृतीय-पक्ष MCP सर्वर में उसके टूल विवरणों में एक बैकडोर होता है जो तब ट्रिगर होता है जब कोई डाउनस्ट्रीम एजेंट किसी विशिष्ट विषय पर क्वेरी करता है।
3. एंटरप्राइज़ सहायक का RAG कॉर्पस विषाक्तीकरण। एक हमलावर एक सहायता टिकट प्रस्तुत करता है जिसकी सामग्री कंपनी के RAG कॉर्पस में शामिल की जाती है और बाद में एक आंतरिक सहायक द्वारा पुनर्प्राप्त की जाती है, जिससे वह संवेदनशील कॉन्फ़िगरेशन प्रकट कर देता है।
4. स्वामित्व डोमेन मॉडल के विरुद्ध API-आधारित मॉडल निष्कर्षण। एक प्रतियोगी बड़े पैमाने पर एक फ़ाइन-ट्यून किए गए डोमेन मॉडल को क्वेरी करने के लिए प्रमाणित API पहुँच का उपयोग करता है, एक सरोगेट प्रशिक्षित करता है जो उसके अधिकांश व्यवहार की नकल करता है।

प्रत्येक केस स्टडी देखे गए प्रतिद्वंद्वी व्यवहार को विशिष्ट EKC उप-तकनीक IDs से मैप करता है और उन डिटेक्शन सिग्नलों की पहचान करता है जो गतिविधि को सबसे पहले सतह पर ला सकते थे।

## डिटेक्शन और शमन मार्गदर्शन

किल-चेन व्यवधान तर्क आगे बढ़ता है। एक चरण तोड़ें, श्रृंखला तोड़ें। डिफ़ेंडर टीमों को नियंत्रणों को एक बिंदु पर केंद्रित करने के बजाय चरणों में फैलाना चाहिए।

चरण के अनुसार उच्चतम-उत्तोलन नियंत्रण:- **Stage 0.** मॉडल बिल ऑफ मैटेरियल्स। हस्ताक्षरित आर्टिफैक्ट्स। रजिस्ट्री पिनिंग। आवधिक बैकडोर प्रोबिंग।
- **Stage 1.** प्रॉम्प्ट-ट्रैफ़िक व्यवहारिक एनालिटिक्स। सिस्टम प्रॉम्प्ट्स में कैनरी टोकन। प्रोब जैसी क्वेरीज़ पर रेट लिमिट्स।
- **Stages 2 and 3.** हर अविश्वसनीय इनबाउंड कंटेंट स्ट्रीम पर इनडायरेक्ट-इंजेक्शन डिटेक्शन: वेब, ईमेल, RAG कॉर्पस, MCP टूल विवरण, मल्टी-मॉडल इनपुट्स।
- **Stage 4.** टूल-कॉल आर्गुमेंट लिनेज ट्रैकिंग। कोई भी टूल इनवोकेशन जिसके आर्गुमेंट अविश्वसनीय टेक्स्ट से उत्पन्न होते हैं, डिफ़ॉल्ट रूप से उच्च-जोखिम माना जाता है।
- **Stage 5.** मेमोरी राइट ऑडिट ट्रेल्स। सिस्टम प्रॉम्प्ट्स और संग्रहीत स्किल्स पर चेंज कंट्रोल। MCP एंडपॉइंट्स पर अटेस्टेशन।
- **Stage 6.** बार-बार आने वाले इंस्ट्रक्शन स्रोतों को उजागर करने के लिए कन्वर्सेशन-ग्राफ़ विश्लेषण। एजेंट-टू-एजेंट फ़ील्ड्स पर एंट्रॉपी विश्लेषण।
- **Stage 7a.** क्लासिकल DLP, मॉनिटरिंग, सेगमेंटेशन।
- **Stage 7b.** क्वेरी-पैटर्न एनालिटिक्स। रेड-टीम सुइट्स में मेमोराइज़ेशन प्रोब्स। मॉडल आउटपुट्स की वॉटरमार्किंग।
- **Stage 7c.** प्रति-टूल ब्लास्ट-रेडियस सीमाएँ। उच्च-प्रभाव वाले टूल्स पर ह्यूमन-इन-द-लूप। आइडेंटिटी प्रोपेगेशन समीक्षा: क्या डाउनस्ट्रीम सिस्टम जानता है कि वह किसी उपयोगकर्ता की ओर से नहीं, बल्कि किसी एजेंट की ओर से कार्य कर रहा है?

## मौलिकता विवरण

यह फ्रेमवर्क ऐसा क्या योगदान देता है जो पिछला कार्य नहीं देता:

1. AI-युग के खतरों का Lockheed Martin मॉडल के साथ किल-चेन-अनुक्रमित एकीकरण। वह कालानुक्रमिक प्रवाह और स्टेज-विघटन तर्क, जिसके चारों ओर डिफेंडर टीमों ने एक दशक से अधिक समय से अपने ऑपरेशन बनाए हैं, संरक्षित रखा गया है। MITRE ATLAS, OWASP LLM Top 10, और NIST AI RMF सभी मैट्रिक्स या जोखिम-प्राथमिकता सूचियों के रूप में संगठित हैं; इनमें से कोई भी किल चेन नहीं है।
2. Stage 0 (मॉडल सप्लाई चेन कॉम्प्रोमाइज़) को एक एकल हमले-पूर्व स्टेज के रूप में। ट्रेनिंग-डेटा पॉइज़निंग, फाइन-ट्यून बैकडोर, दुर्भावनापूर्ण मॉडल और एडेप्टर वितरण, और टूल-कैटलॉग कॉम्प्रोमाइज़ को यहाँ एक अनुक्रमिक स्टेज में समेकित किया गया है जो विहित सात स्टेजों से पहले आती है। ATLAS समकक्ष तकनीकों को Resource Development, Initial Access, और ML Model Access टैक्टिक्स में वितरित करता है। एकल-स्टेज फ्रेमिंग ही योगदान है।
3. Stage 7 को तीन समकक्ष उप-स्टेजों में विभाजित किया गया। Model Extraction (7b) और Agentic Pivot (7c) को Actions on Objectives स्टेज के भीतर, क्लासिकल डेटा एक्सफिल्ट्रेशन (7a) के बगल में प्रथम-श्रेणी के प्रतिद्वंद्वी उद्देश्यों के रूप में नामित किया गया है। यह SOC प्लेबुक डिज़ाइन का समर्थन करता है जो पहले से सात-स्टेज स्पाइन के अनुरूप चलता है।
4. `EKC-x.y` सब-टेक्नीक ID स्कीम। ये IDs डिटेक्शन नियमों, थ्रेट रिपोर्ट्स और SOC दस्तावेज़ीकरण में संदर्भित किए जाने के लिए डिज़ाइन की गई हैं, जिनमें MITRE ATLAS तकनीकों और OWASP LLM Top 10 श्रेणियों के लिए वन-टू-मैनी क्रॉस-रेफरेंस शामिल हैं।
5. संपूर्ण रूप से डिफेंडर-पक्षीय फ्रेमिंग। यह फ्रेमवर्क डिटेक्शन इंजीनियरिंग और SOC उपयोग के लिए अनुकूलित है, जहाँ किल-चेन स्टेज विश्लेषण की इकाई है, न कि रेड-टीम टैक्सोनॉमी या जोखिम-वर्गीकरण उपयोग-मामलों के लिए, जो मैट्रिक्स के रूप में बेहतर काम करते हैं।

यह फ्रेमवर्क Lockheed Martin साइबर किल चेन (Hutchins, Cloppert, and Amin, 2011) और Nagar और Kumar (2025) में प्रस्तुत परिचालनात्मक उपचार पर आधारित है। मूल सात-स्टेज संरचना यथावत बनी हुई है। ATLAS और OWASP LLM Top 10 यथावत हैं। यह उसी थ्रेट सतह का किल-चेन दृष्टिकोण है, उन दर्शकों के लिए जो पहले से उन्हीं अवधारणाओं में कार्य करते हैं।

## उद्धरण कैसे करें

अनुशंसित उद्धरण (APA):

> Nagar, G. (2026). *Extended Cyber Kill Chain for AI-Era Threats* (Version 1.0) [Framework]. Zenodo. https://doi.org/10.5281/zenodo.20349357

BibTeX:```bibtex
@misc{nagar2026extendedkillchain,
  author       = {Nagar, Gourav},
  title        = {Extended Cyber Kill Chain for {AI}-Era Threats},
  year         = {2026},
  month        = {5},
  version      = {1.0},
  publisher    = {Zenodo},
  doi          = {10.5281/zenodo.20349357},
  url          = {https://doi.org/10.5281/zenodo.20349357},
  howpublished = {\url{https://doi.org/10.5281/zenodo.20349357}},
  note         = {Extends the kill-chain treatment in Nagar and Kumar (2025), Cyber Security Kill Chain: Tactics and Strategies, Packt Publishing.}
}