gouravnagar-infosec/ai-kill-chainUn'estensione lato difensore della Cyber Kill Chain di Lockheed Martin per le minacce LLM e di IA agentica. Aggiunge una fase di supply chain del modello e suddivide la fase actions-on-objectives in esfiltrazione, estrazione del modello e pivot agentico.
Un aggiornamento alla Lockheed Martin Cyber Kill Chain per i difensori che operano contro attacchi basati su LLM e AI agentica. Aggiunge una fase pre-attacco per la compromissione della supply chain del modello. Aggiunge sotto-tecniche specifiche per l'AI a ciascuna delle sette fasi originali. Suddivide la fase Actions on Objectives in tre sotto-fasi paritarie: esfiltrazione classica dei dati, estrazione del modello e pivot agentico.
Autore: Gourav Nagar Versione: 1.0 Data: 19 maggio 2026 Repository: https://github.com/gouravnagar-infosec/ai-kill-chain
Citare come: Nagar, G. (2026). Extended Cyber Kill Chain for AI-Era Threats (Version 1.0). Zenodo. https://doi.org/10.5281/zenodo.20349357
La Lockheed Martin Cyber Kill Chain è stato il modello di riferimento per descrivere una campagna di intrusione da parte dei difensori dal 2011. Sette fasi dalla reconnaissance alle actions on objectives. Superficie d'attacco di rete ed endpoint. Attaccanti umani che utilizzano strumenti contro target deterministici. Il suo valore per i difensori risiede nella logica di disruption: bloccare una qualsiasi fase impedisce il completamento del resto della catena.
Gli LLM e gli agenti AI non si adattano a questo quadro. Gli attaccanti ora prendono di mira pesi dei modelli, dati di addestramento, system prompt, descrizioni degli strumenti. Un documento o una pagina web può contenere istruzioni che un agente AI eseguirà come se un utente le avesse digitate. Gli agenti con accesso agli strumenti possono effettuare pivot attraverso relazioni di fiducia legittime senza mai caricare shellcode.
MITRE ATLAS e l'OWASP LLM Top 10 catalogano entrambi queste minacce. ATLAS v5.4.0 (febbraio 2026) conta 16 tattiche, 84 tecniche e 42 casi di studio, con una copertura che si estende fino all'indirect prompt injection e al command and control agentico. L'OWASP LLM Top 10 del 2025 prioritizza dieci categorie di rischio per gli sviluppatori di applicazioni. Entrambi sono organizzati come matrici o liste di rischi. Nessuno dei due è una kill chain.
Questo documento è la vista a forma di kill chain dello stesso contenuto. È scritto per analisti SOC e detection engineer che già ragionano in termini di fasi della kill chain.
Fa tre cose in aggiunta alle sette canoniche. Aggiunge una nuova fase pre-attacco (Fase 0) per l'attività dell'avversario contro la stessa supply chain dell'AI. Aggiunge sotto-tecniche specifiche per l'AI all'interno di ciascuna delle sette fasi originali, con ID EKC in modo che le regole di rilevamento e i playbook SOC possano farvi riferimento. E suddivide la Fase 7 (Actions on Objectives) in tre sotto-fasi paritarie: esfiltrazione classica dei dati, estrazione del modello e pivot agentico.
Questo non è un sostituto di ATLAS o OWASP. È la vista a forma di kill chain della stessa superficie di minaccia.
La Cyber Kill Chain originale, dal paper del 2011 di Hutchins, Cloppert e Amin per Lockheed Martin, suddivide un'intrusione in sette fasi.
| Fase | Nome | Cosa sta facendo l'avversario |
|---|---|---|
| 1 | Reconnaissance | Selezione dei target |
| 2 | Weaponization | Abbinamento di un exploit a un payload |
| 3 | Delivery | Trasporto dell'arma al target |
| 4 | Exploitation | Attivazione dell'arma |
| 5 | Installation | Impianto della persistenza |
| 6 | Command and Control | Stabilimento di un canale di controllo |
| 7 | Actions on Objectives | Raggiungimento della missione |
Il modello è alla base di oltre un decennio di pratica di detection engineering, struttura di reportistica di threat intel e progettazione di playbook SOC. Un trattato esteso sul framework e sul suo utilizzo operativo è Nagar e Kumar (2025), Cyber Security Kill Chain: Tactics and Strategies (Packt). Questo framework estende quel libro.
Le assunzioni originali si rompono in quattro punti per gli attacchi dell'era AI.
Gli attacchi ora hanno una fase pre-rete. Un dataset avvelenato o un modello pre-addestrato compromesso presente su un registry pubblico può compromettere un'organizzazione target prima che qualsiasi pacchetto attraversi un firewall. La kill chain canonica inizia dalla Reconnaissance e non ha un posto dove collocare questo.
I prompt mescolano codice e dati. Gli LLM non riescono a distinguere in modo affidabile le istruzioni dal contenuto. Testo nascosto in una pagina web, in un'email o nella descrizione di uno strumento può diventare istruzioni che il modello segue. Ciò che la kill chain tratta come fasi separate di Delivery ed Exploitation collassa in una singola primitiva nel caso dell'AI: l'indirect prompt injection.
I modelli stessi sono ora target. Gli avversari vogliono i pesi, i dati di fine-tuning, i system prompt, le capacità codificate nei modelli distribuiti. "Data exfiltration" sottostima questo aspetto. L'estrazione del modello, l'estrazione dei dati di addestramento e il capability mining hanno ciascuno meccaniche diverse e richiedono difese diverse.
E gli agenti effettuano pivot attraverso i propri permessi. Un agente AI compromesso con accesso agli strumenti (MCP, function calling, controllo del browser) non ha bisogno di escalare privilegi o caricare shellcode. Invoca gli strumenti che è già autorizzato a usare. Le meccaniche non sono il classico lateral movement, ma l'effetto su un ambiente target lo è.
ATLAS ha recuperato terreno. La v4.9.0 (aprile 2025) ha aggiunto Command and Control come tattica (AML.TA0014). La v5.1.0 (novembre 2025) ha aggiunto Lateral Movement (AML.TA0015). A partire dalla v5.4.0 (febbraio 2026) ATLAS è una matrice a 16 tattiche con una buona copertura delle minacce agentiche, inclusi casi di studio per SesameOp (AML.CS0042) e OpenClaw (AML.CS0050, AML.CS0051). Questo framework non esiste per colmare lacune in ATLAS; ATLAS funziona come matrice. Esiste perché lo stesso contenuto deve essere disponibile ai difensori che ragionano in termini di fasi della kill chain, con la logica di disruption delle fasi originali che continua a fare il suo lavoro.
