S0 --> S1 --> S2 --> S3 --> S4 --> S5 --> S6 --> S7
S7 --> S7A
S7 --> S7B
S7 --> S7C

classDef new fill:#ffe6e6,stroke:#cc0000,stroke-width:2px,color:#000
classDef mod fill:#fff4d6,stroke:#cc8800,stroke-width:2px,color:#000
classDef expanded fill:#e6f0ff,stroke:#0044cc,stroke-width:2px,color:#000

Rosso significa nuovo, giallo indica l'originale con le sotto-tecniche AI, blu indica l'originale ma ampliato a livello strutturale.

Il framework aggiunge tre elementi allo schema originale in sette fasi. Una nuova Fase 0 pre-attacco si colloca prima di Reconnaissance per coprire l'attività avversaria contro la supply chain dell'AI. Ogni fase originale acquisisce le proprie sotto-tecniche AI-specifiche con ID EKC, così che le regole di detection e i report di threat intelligence possano farvi riferimento. La Fase 7 si divide in tre sotto-fasi paritarie: l'esfiltrazione classica rimane al suo posto come 7a, affiancata da Model Extraction (7b) e Agentic Pivot (7c). Non si tratta di varianti dell'esfiltrazione. Sono obiettivi avversari distinti che richiedono controlli propri.

## Specifica fase per fase

Ogni specifica di fase di seguito copre quattro aspetti. Cosa fa l'avversario. Le sotto-tecniche AI-specifiche (con ID `EKC` citabili nelle regole di detection e nei report di threat intelligence). I segnali di detection su cui un difensore può agire. Le mitigazioni.

### Fase 0. Compromissione della supply chain del modello (nuova)

**Cosa fa l'avversario.** Compromettere un modello, un dataset, un adapter di fine-tuning o un canale di distribuzione che l'organizzazione bersaglio integrerà successivamente nei propri sistemi AI. L'avversario non tocca mai la rete del bersaglio. Inserisce la compromissione nella supply chain e attende.

**Sotto-tecniche.**

| ID | Sotto-tecnica | Descrizione |
|----|---------------|-------------|
| EKC-0.1 | Avvelenamento dei dati di training | Iniettare esempi manipolati in un dataset pubblico, in un corpus ottenuto via web scraping o in una pipeline di labeling che i futuri run di training elaboreranno. |
| EKC-0.2 | Backdoor nel fine-tuning | Distribuire un adapter di fine-tuning, una LoRA o un checkpoint del modello completo con una coppia nascosta trigger-comportamento. |
| EKC-0.3 | Trojan nel modello pre-addestrato | Pubblicare un modello malevolo in un registro pubblico (Hugging Face, Ollama Library, GitHub) con un nome plausibile o tramite typosquatting di un nome reale. |
| EKC-0.4 | Manipolazione di tokenizer o preprocessing | Alterare il codice di tokenizzazione, normalizzazione o estrazione delle feature in una dipendenza a monte per aggiungere un canale di input occulto. |
| EKC-0.5 | Server MCP malevolo o voce di catalogo strumenti | Pubblicare una descrizione di strumento, un manifest di server MCP o una definizione di funzione progettata per essere invocata da agenti a valle e sfruttarli tramite prompt injection nella descrizione dello strumento stesso. |

**Segnali di detection.**
- Lacune di provenienza negli artifact di modello distribuiti (nessun manifest firmato, nessuna lineage nota dei dati di training).
- Deriva dell'hash crittografico tra un modello scaricato oggi da un registro e lo stesso identificatore scaricato in una data precedente.
- Descrizioni di strumenti provenienti da server MCP di terze parti che contengono testo insolitamente lungo, simile a istruzioni, o caratteri non stampabili.
- Distribuzioni anomale dell'attivazione dei neuroni in un modello distribuito quando viene sondato con una suite di trigger curata.

**Mitigazioni principali.**
- Mantenere un modello di distinta dei materiali (M-BOM) per ogni modello distribuito, inclusa l'identità del modello base, gli hash dei dati di fine-tuning e la provenienza degli adapter.
- Firmare e verificare gli artifact dei modelli. Fissare hash di commit specifici per i modelli ospitati nei registri.
- Mettere in quarantena e sandboxizzare i server MCP appena aggiunti. Trattare le descrizioni degli strumenti come input non fidato.
- Scansione di routine dei trigger backdoor sui modelli distribuiti utilizzando benchmark pubblicati.

### Fase 1. Reconnaissance (potenziata dall'AI)

**Cosa fa l'avversario.** Individuare i sistemi AI del bersaglio, cosa possono fare, quali sono le loro protezioni e a cosa si connettono.

**Sotto-tecniche potenziate dall'AI.**

| ID | Sotto-tecnica | Descrizione |
|----|---------------|-------------|
| EKC-1.1 | Fingerprinting del modello | Identificare il modello base, la famiglia di fine-tuning e la versione di un LLM distribuito tramite sonde di stile di risposta, analisi della latenza o test a risposta nota. |
| EKC-1.2 | Enumerazione del system prompt | Usare query di leakage, sonde di role-play o prompt ai confini del caso per recuperare il system prompt o i suoi vincoli principali. |
| EKC-1.3 | Enumerazione di capacità e strumenti | Scoprire a quali strumenti, plugin, server MCP o interfacce di chiamata di funzioni ha accesso l'agente. |
| EKC-1.4 | Mappatura delle protezioni | Mappare il confine delle policy sondando i pattern di rifiuto e individuando topic, formati o forme di input che bypassano i classificatori. |
| EKC-1.5 | Scoperta della superficie di embedding e retrieval | Identificare le fonti di retrieval che il sistema legge (contenuti dello store vettoriale, corpora documentali, domini di fetch web). |

**Segnali di detection.** Sessioni di prompt ad alta entropia da una singola fonte. Esplorazione sistematica dei confini di rifiuto. Query che corrispondono strettamente a corpus di jailbreak pubblicati. Richieste ripetute al sistema di "ripetere le istruzioni sopra".

**Mitigazioni principali.** Applicare rate-limit e clustering comportamentale del traffico di prompt per identità utente. Redigere gli artifact di risposta identificativi. Aggiungere canary token al system prompt che scattano in caso di esfiltrazione. Limitare l'enumerazione degli strumenti a chiamanti autenticati e sottoposti a audit.

### Fase 2. Weaponization (potenziata dall'AI)

**Cosa fa l'avversario.** Costruire un payload che verrà consegnato al bersaglio.

**Sotto-tecniche potenziate dall'AI.**

| ID | Sotto-tecnica | Descrizione |
|----|---------------|-------------|
| EKC-2.1 | Creazione di prompt avversari | Costruire un payload di prompt injection personalizzato per il modello bersaglio fingerprinted, le protezioni e il set di strumenti emersi dalla Fase 1. |
| EKC-2.2 | Costruzione di payload multi-modali | Incorporare istruzioni in immagini, audio, PDF o documenti strutturati che un modello multi-modale analizzerà. |
| EKC-2.3 | Strumento o pacchetto MCP malevolo | Creare uno strumento che appare benigno nel nome e nella descrizione ma esegue azioni controllate dall'attaccante quando viene invocato. |
| EKC-2.4 | Assemblaggio di catene di jailbreak | Combinare tecniche di bypass note (priming di persona, trucchi di encoding, pivot su lingue a basse risorse, role-play strutturato) in un unico payload che supera protezioni a più livelli. |
| EKC-2.5 | Malware polimorfo generato dall'AI | Usare un modello per produrre varianti di malware semanticamente equivalenti ma lessicalmente diverse che eludono la detection basata su firme. |

**Segnali di detection.** Corrispondenze di pattern con marcatori noti di indirect injection nei contenuti in ingresso. Analisi di immagini, PDF e audio per istruzioni steganografiche. Analisi statica dei pacchetti MCP di nuova registrazione.

### Fase 3. Delivery (potenziata dall'AI)

**Cosa fa l'avversario.** Portare il payload al sistema AI o al suo operatore.

**Sotto-tecniche potenziate dall'AI.**

| ID | Sotto-tecnica | Descrizione |
|----|---------------|-------------|
| EKC-3.1 | Indirect prompt injection tramite contenuto web | Un agente di navigazione o di fetch web recupera una pagina controllata dall'attaccante contenente istruzioni. |
| EKC-3.2 | Avvelenamento del corpus RAG | Un attaccante invia contenuti (tramite ticket di supporto, documenti pubblici, contributi di codice o ingestione nello store vettoriale) che verranno poi recuperati come contesto per un LLM. |
| EKC-3.3 | Injection tramite email o messaggi | Istruzioni inserite in un'email che un assistente AI è configurato per leggere o riassumere. |
| EKC-3.4 | Injection tramite documenti | Istruzioni inserite in PDF, fogli di calcolo o documenti office elaborati da un flusso di lavoro AI. |
| EKC-3.5 | Avvelenamento di descrizioni di strumenti | Istruzioni inserite nelle descrizioni o negli schemi di strumenti MCP o di definizioni di funzione esposte all'agente. |
| EKC-3.6 | Injection tramite immagini, audio o codici QR | Istruzioni codificate in modalità non testuali che un agente multi-modale elaborerà. |

**Segnali di detection.** Testo anomalo simile a istruzioni nei flussi di contenuti non fidati. Alta entropia nei canali alpha delle immagini e nei metadati per le pipeline multi-modali. Cambi di lingua inattesi all'interno dei documenti recuperati.

### Fase 4. Exploitation (potenziata dall'AI)

**Cosa fa l'avversario.** Attivare il payload. In termini AI: indurre il modello a seguire le istruzioni dell'attaccante o a violare la sua policy.

**Sotto-tecniche potenziate dall'AI.**

| ID | Sotto-tecnica | Descrizione |
|----|---------------|-------------|
| EKC-4.1 | Successo della direct prompt injection | Il prompt rivolto all'utente ottiene la violazione della policy voluta dall'attaccante. |
| EKC-4.2 | Successo della indirect prompt injection | Il modello segue le istruzioni consegnate tramite la Fase 3 quando il contenuto viene elaborato. |
| EKC-4.3 | Invocazione di strumenti confused-deputy | Il modello invoca uno strumento privilegiato per conto dell'attaccante, usando i permessi dell'agente stesso. |
| EKC-4.4 | Bypass delle protezioni o dei classificatori | Un classificatore di sicurezza o un filtro basato su regole viene eluso, così da produrre contenuti non consentiti o compiere azioni non consentite. |
| EKC-4.5 | Inquinamento di memoria o contesto | Uno store di memoria persistente viene aggiornato con contenuti controllati dall'attaccante che influenzeranno le sessioni future. |

**Segnali di detection.** Invocazioni di strumenti i cui argomenti derivano da stringhe di input non fidate. Output che includono canary token provenienti dal system prompt. Devi azioni di ampio passo nello stato della conversazione causate da un singolo documento recuperato.

### Fase 5. Installation (potenziata dall'AI)

**Cosa fa l'avversario.** Configurare la persistenza affinché la compromissione sopravviva a una singola sessione.

**Sotto-tecniche potenziate dall'AI.**

| ID | Sotto-tecnica | Descrizione |
|----|---------------|-------------|
| EKC-5.1 | Impianto di memoria persistente | Iniettare contenuti nella memoria a lungo termine, negli store delle preferenze utente o nel contesto per-account che verrà ricaricato nelle sessioni future. |
| EKC-5.2 | Override del system prompt | Modificare un GPT personalizzato, una configurazione di assistente o una definizione di agente per incorporare istruzioni dell'attaccante nel suo system prompt. |
| EKC-5.3 | Installazione di connettori malevoli | Indurre un utente o un amministratore a installare un server MCP, un plugin o un'estensione del browser controllati dall'attaccante che garantiscono all'attaccante un punto d'appoggio persistente. |
| EKC-5.4 | Persistenza nel corpus RAG | Garantire che i documenti avvelenati rimangano nello store vettoriale attraverso le operazioni di re-indicizzazione. |
| EKC-5.5 | Contaminazione di skill o workflow salvati | Modificare una skill salvata, un'automazione o un workflow salvato che l'agente caricherà ed eseguirà in base a una pianificazione o su richiesta. |

**Segnali di detection.** Nuove voci negli store di memoria non attribuibili a un'azione legittima dell'utente. Modifiche non autorizzate a system prompt, GPT personalizzati o skill salvate. Endpoint MCP di nuova registrazione. Eventi di ingestione nello store vettoriale al di fuori delle pipeline previste.

### Fase 6. Command and Control (potenziata dall'AI)

**Cosa fa l'avversario.** Mantenere un canale interattivo o pianificato che consenta di dirigere ulteriori attività.

Gli agenti AI introducono nuovi canali C2. ATLAS ora copre alcuni di questi (ad esempio, AI Service API AML.T0096; il case study SesameOp AML.CS0042 documenta l'uso dell'OpenAI Assistants API come infrastruttura C2). Le sotto-tecniche di seguito organizzano gli stessi fenomeni come fasi della kill chain.

**Sotto-tecniche potenziate dall'AI.**

| ID | Sotto-tecnica | Descrizione |
|----|---------------|-------------|
| EKC-6.1 | Canale LLM come C2 | Codificare i comandi in prompt utente apparentemente benigni, documenti recuperati o output di strumenti che l'agente legge in base a una pianificazione. |
| EKC-6.2 | C2 mediato dalla memoria | Usare lo store di memoria a lungo termine dell'agente come dead-drop. L'attaccante scrive istruzioni in memoria tramite un punto di ingresso; l'agente agisce su di esse tramite un altro. |
| EKC-6.3 | C2 mediato dal RAG | Aggiornare un documento avvelenato nello store vettoriale per consegnare nuove istruzioni. L'agente le recupera alla successiva query pertinente. |
| EKC-6.4 | C2 tramite output di strumenti | Un server MCP compromesso restituisce risposte cariche di istruzioni a ogni invocazione, orientando il comportamento successivo dell'agente. |
| EKC-6.5 | C2 steganografico cross-sessione | Codificare i payload di comando in campi che l'agente si scambia tra sessioni (note utente, descrizioni di progetto, commenti nei ticket) dove sfuggono alla classificazione dei contenuti perché ogni frammento appare innocuo singolarmente. |

**Segnali di detection.** Analisi del grafo della conversazione che mostra istruzioni che arrivano ripetutamente dalla stessa fonte recuperata. Output di strumenti esterni contenenti linguaggio imperativo incoerente con lo scopo documentato dello strumento. Analisi dell'entropia sui campi agente-agente.

### Fase 7. Actions on Objectives (espansa)

**Cosa fa l'avversario.** Raggiungere la missione. La Fase 7 si divide in tre sotto-fasi paritarie perché i sistemi AI rendono possibili due nuove classi di obiettivi che prima non esistevano come target di prima classe.

#### Sotto-fase 7a. Esfiltrazione dei dati (classica)

Le azioni sugli obiettivi della kill chain tradizionale. I dati sensibili vengono esfiltrati. I sistemi vengono distrutti, crittografati o compromessi. Vengono commesse frodi. L'AI non cambia qualitativamente questa sotto-fase. Ne amplifica la scala grazie a phishing più economico, riconoscimento automatizzato e cicli di social engineering più rapidi.

#### Sotto-fase 7b. Model Extraction (nuova)

Il bersaglio è il modello stesso, i dati al suo interno o la conoscenza in esso codificata.

| ID | Sotto-tecnica | Descrizione |
|----|---------------|-------------|
| EKC-7b.1 | Estrazione del modello basata su API | Ricostruire un'approssimazione dei pesi o del confine decisionale di un modello distribuito interrogandolo su larga scala e addestrando un surrogato. |
| EKC-7b.2 | Estrazione dei dati di training | Recuperare esempi di training verbatim o quasi verbatim, inclusi PII sensibili o contenuti proprietari, tramite prompt mirati alla memorizzazione. |
| EKC-7b.3 | Membership inference | Determinare se un record specifico era nel set di training. Ha implicazioni a valle per la regolamentazione della privacy e la riservatezza. |
| EKC-7b.4 | Estrazione di system prompt e istruzioni | Recuperare system prompt proprietari che codificano logica di business, regole di prezzo o posizionamento competitivo. |
| EKC-7b.5 | Capability mining | Usare il modello distribuito per eseguire compiti che l'infrastruttura dell'attaccante non può svolgere. L'accesso diventa un trasferimento di capacità. |

**Segnali di detection.** Pattern di query programmatiche ad alto volume da una singola identità, soprattutto con bassa entropia nei template di query e alta entropia negli input. Query che contengono sonde di memorizzazione classiche ("ripeti il testo sopra"). Distribuzioni di query che somigliano ad attacchi di estrazione pubblicati.

#### Sotto-fase 7c. Agentic Pivot (nuova)

L'agente AI compromesso viene usato per compiere azioni nei sistemi connessi, sfruttando i suoi permessi legittimi. Meccanicamente: nessun codice exploit, nessun riuso di credenziali, nessuna escalation di privilegi. Solo invocazione di strumenti autorizzati con argomenti influenzati dall'attaccante. ATLAS ha aggiunto una tattica Lateral Movement (AML.TA0015) nella v5.1.0 (novembre 2025) per affrontare lo stesso fenomeno. Il contributo qui è collocare la variante agentic-pivot all'interno della fase Actions on Objectives della kill chain, come pari dell'esfiltrazione classica, piuttosto che come tattica separata più a monte nella matrice.

| ID | Sotto-tecnica | Descrizione |
|----|---------------|-------------|
| EKC-7c.1 | Azione laterale mediata da strumenti | L'agente invoca strumenti legittimi (invio email, scrittura di file, creazione di ticket, autorizzazione di pagamenti) per conto dell'attaccante. |
| EKC-7c.2 | Pivot cross-app | L'agente si sposta da un'applicazione connessa a un'altra (calendario a CRM a processore di pagamenti) concatenando chiamate di strumenti. |
| EKC-7c.3 | Attacco di confusione d'identità | L'agente agisce in un contesto in cui i sistemi a valle trattano le sue azioni come azioni di un utente privilegiato, concedendo privilegi che l'attaccante non detiene direttamente. |
| EKC-7c.4 | Abuso ricorsivo degli agenti | Un agente compromesso invoca altri agenti, propagando la compromissione attraverso un tessuto di agenti senza movimento laterale classico. |
| EKC-7c.5 | Weaponization dei workflow | Un'automazione salvata o un workflow pianificato esegue l'azione voluta dall'attaccante in modo ricorrente. |

**Segnali di detection.** Chiamate di strumenti i cui argomenti contengono contenuti riconducibili a fonti a monte non fidate. Grafi di chiamate di strumenti che attraversano confini di fiducia che nessuna azione umana ha attraversato. Picchi nelle chiamate cross-applicazione per sessione. Comunicazioni in uscita avviate dagli agenti verso destinatari che non figurano in alcuna cronologia di conversazione precedente.

## Relazione con MITRE ATLAS, OWASP LLM Top 10, NIST AI RMF

L'EKC è complementare ai framework di sicurezza AI esistenti. Non sostituisce nessuno di essi.

ATLAS è il confronto più vicino. ATLAS è una matrice di tattiche avversarie modellata su ATT&CK, strutturata come tassonomia parallela per i sistemi AI. Al 5.4.0 (febbraio 2026) ha 16 tattiche, 84 tecniche, 56 sotto-tecniche, 32 mitigazioni e 42 case study. L'evoluzione rilevante per questo framework: la v4.9.0 (aprile 2025) ha aggiunto Command and Control (AML.TA0014) e la v5.1.0 (novembre 2025) ha aggiunto Lateral Movement (AML.TA0015). ATLAS è organizzato come matrice. L'EKC fornisce la visione sequenziata per kill chain della stessa superficie di minaccia. La maggior parte delle sotto-tecniche EKC mappa a una o più tecniche ATLAS; vedere [`mappings/mitre-atlas-mapping.md`](https://github.com/gouravnagar-infosec/ai-kill-chain/blob/main/mappings/mitre-atlas-mapping.md). Usare entrambi: EKC per i difensori che ragionano per fasi di kill chain, ATLAS per i red teamer e gli analisti di threat intelligence che ragionano per matrici tattiche-tecniche.

L'OWASP Top 10 per LLM Applications (2025), pubblicato a novembre 2024 dall'OWASP GenAI Security Project, è una lista di priorità di rischio per gli sviluppatori di applicazioni. Le sue dieci categorie sono: Prompt Injection (LLM01), Sensitive Information Disclosure (LLM02), Supply Chain (LLM03), Data and Model Poisoning (LLM04), Improper Output Handling (LLM05), Excessive Agency (LLM06), System Prompt Leakage (LLM07), Vector and Embedding Weaknesses (LLM08), Misinformation (LLM09) e Unbounded Consumption (LLM10). La lista è organizzata per categoria di rischio. Non specifica dove, all'interno di un attacco, ciascun rischio viene sfruttato. Il file di mapping dell'EKC (`mappings/owasp-llm-mapping.md`) fornisce questa visione: ogni categoria OWASP mappata alle fasi EKC in cui la vulnerabilità diventa operativa.

Il NIST AI Risk Management Framework (AI RMF 1.0) opera a un livello diverso. Fornisce quattro funzioni di governance (Govern, Map, Measure, Manage) per il rischio AI. Il relativo Generative AI Profile (NIST AI 600-1, luglio 2024) cataloga dodici categorie di rischio specifiche per l'AI generativa con oltre 200 azioni suggerite. Si tratta di framework programmatici di gestione del rischio, non di modelli avversari. L'EKC fornisce il dettaglio lato avversario di cui le funzioni Map e Measure del NIST RMF hanno bisogno per essere operativamente complete.

ATT&CK resta il framework canonico di tattiche avversarie per le operazioni cyber non AI. Le fasi dalla 1 alla 7 dell'EKC sono pienamente compatibili con le tecniche ATT&CK usate in quelle fasi. L'EKC aggiunge sotto-tecniche AI-specifiche sopra questa compatibilità, senza cercare di sostituire la copertura di ATT&CK del comportamento avversario classico.

## Case study elaborati

[`examples/case-studies.md`](https://github.com/gouravnagar-infosec/ai-kill-chain/blob/main/examples/case-studies.md) percorre quattro scenari attraverso la kill chain dall'inizio alla fine:

1. Indirect prompt injection di un agente di navigazione. Una pagina web pubblica contiene istruzioni che dirottano il comportamento di uso degli strumenti dell'agente per esfiltrare il contenuto delle schede aperte dell'utente.
2. Compromissione di un server MCP. Un server MCP di terze parti pubblicato in un registro pubblico contiene una backdoor nelle sue descrizioni di strumenti che si attiva quando un agente a valle interroga un topic specifico.
3. Avvelenamento del corpus RAG di un assistente aziendale. Un attaccante invia un ticket di supporto i cui contenuti vengono ingeriti nel corpus RAG dell'azienda e successivamente recuperati da un assistente interno, inducendolo a divulgare configurazioni sensibili.
4. Estrazione del modello basata su API contro un modello di dominio proprietario. Un concorrente usa l'accesso API autenticato per interrogare su larga scala un modello di dominio fine-tunato, addestrando un surrogato che replica gran parte del suo comportamento.

Ogni case study mappa il comportamento avversario osservato a specifici ID di sotto-tecnica EKC e identifica i segnali di detection che avrebbero fatto emergere l'attività nel modo più precoce.

## Guida a detection e mitigazione

La logica di disruption della kill chain si mantiene. Rompi una fase, rompi la catena. I team di difesa dovrebbero distribuire i controlli su tutte le fasi piuttosto che concentrarli in un unico punto.

Controlli a massima leva per fase:- **Stage 0.** Distinta dei materiali del modello. Artefatti firmati. Pinning del registro. Sonde periodiche per backdoor.
- **Stage 1.** Analisi comportamentale del traffico dei prompt. Token canary nei prompt di sistema. Limiti di frequenza sulle query simili a sonde.
- **Stage 2 e 3.** Rilevamento delle iniezioni indirette su ogni flusso di contenuti in entrata non affidabile: web, email, corpus RAG, descrizioni degli strumenti MCP, input multimodali.
- **Stage 4.** Tracciamento della provenienza degli argomenti delle chiamate agli strumenti. Qualsiasi invocazione di strumento i cui argomenti derivino da testo non affidabile viene trattata come ad alto rischio per impostazione predefinita.
- **Stage 5.** Trail di audit per le scritture in memoria. Controllo delle modifiche sui prompt di sistema e sulle skill memorizzate. Attestazione sugli endpoint MCP.
- **Stage 6.** Analisi del grafo di conversazione per far emergere le fonti ricorrenti di istruzioni. Analisi dell'entropia sui campi agente-agente.
- **Stage 7a.** DLP classico, monitoraggio, segmentazione.
- **Stage 7b.** Analisi dei pattern delle query. Sonde di memorizzazione nelle suite red-team. Watermarking degli output del modello.
- **Stage 7c.** Limiti del raggio di esplosione per strumento. Human-in-the-loop sugli strumenti ad alto impatto. Revisione della propagazione dell'identità: il sistema a valle sa di agire per conto di un agente e non di un utente?

## Dichiarazione di originalità

Ciò che questo framework contribuisce e che i lavori precedenti non offrono:

1. Un'integrazione sequenziata per kill chain delle minacce dell'era dell'IA con il modello Lockheed Martin. Il flusso temporale e la logica di interruzione per stage attorno a cui i team di difesa hanno costruito le operazioni per oltre un decennio vengono preservati. MITRE ATLAS, l'OWASP LLM Top 10 e il NIST AI RMF sono tutti organizzati come matrici o elenchi di priorità di rischio; nessuno di essi è una kill chain.
2. Lo Stage 0 (Compromissione della supply chain del modello) come singolo stage pre-attacco. L'avvelenamento dei dati di addestramento, le backdoor da fine-tuning, la distribuzione di modelli e adapter malintenzionati e la compromissione del catalogo degli strumenti sono consolidati qui in un unico stage sequenziale che precede i sette canonici. ATLAS distribuisce tecniche equivalenti tra le tattiche Resource Development, Initial Access e ML Model Access. La strutturazione in un singolo stage è il contributo.
3. Lo Stage 7 suddiviso in tre sotto-stage paritari. Model Extraction (7b) e Agentic Pivot (7c) sono indicati come obiettivi avversari di prima classe accanto alla classica esfiltrazione dei dati (7a), all'interno dello stage Actions on Objectives. Questo supporta la progettazione di playbook SOC che già operano sulla struttura portante a sette stage.
4. Lo schema di ID per sotto-tecniche `EKC-x.y`. Gli ID sono progettati per essere referenziati in regole di rilevamento, report sulle minacce e documentazione SOC, con rimandi incrociati uno-a-molti alle tecniche MITRE ATLAS e alle categorie OWASP LLM Top 10.
5. Un inquadramento lato difensore in tutto il framework. Il framework è ottimizzato per l'ingegneria del rilevamento e per l'uso SOC, dove lo stage della kill chain è l'unità di analisi, piuttosto che per la tassonomia red-team o per i casi d'uso di categorizzazione del rischio, che funzionano meglio come matrici.

Il framework si basa sulla Lockheed Martin Cyber Kill Chain (Hutchins, Cloppert e Amin, 2011) e sul trattamento operativo in Nagar e Kumar (2025). La struttura originale a sette stage rimane invariata. ATLAS e l'OWASP LLM Top 10 rimangono invariati. Questa è la vista kill chain della stessa superficie di minaccia, per il pubblico che già lavora in questi termini.

## Come citare

Citazione consigliata (APA):

> Nagar, G. (2026). *Extended Cyber Kill Chain for AI-Era Threats* (Version 1.0) [Framework]. Zenodo. https://doi.org/10.5281/zenodo.20349357

BibTeX:```bibtex
@misc{nagar2026extendedkillchain,
  author       = {Nagar, Gourav},
  title        = {Extended Cyber Kill Chain for {AI}-Era Threats},
  year         = {2026},
  month        = {5},
  version      = {1.0},
  publisher    = {Zenodo},
  doi          = {10.5281/zenodo.20349357},
  url          = {https://doi.org/10.5281/zenodo.20349357},
  howpublished = {\url{https://doi.org/10.5281/zenodo.20349357}},
  note         = {Extends the kill-chain treatment in Nagar and Kumar (2025), Cyber Security Kill Chain: Tactics and Strategies, Packt Publishing.}
}