AI時代の脅威に対応する拡張サイバーキルチェーン

LLMおよびエージェント型AI攻撃に対抗する防御側のための、Lockheed Martin Cyber Kill Chainのアップデート。モデルサプライチェーンの侵害に対応する攻撃前段階を追加。元の7段階それぞれにAI固有のサブテクニックを追加。Actions on Objectives段階を3つの対等なサブ段階に分割：従来型データ窃取、モデル抽出、エージェント型ピボット。

著者: Gourav Nagar バージョン: 1.0 日付: 2026年5月19日リポジトリ: https://github.com/gouravnagar-infosec/ai-kill-chain

引用方法: Nagar, G. (2026). Extended Cyber Kill Chain for AI-Era Threats (Version 1.0). Zenodo. https://doi.org/10.5281/zenodo.20349357

概要

Lockheed Martin Cyber Kill Chainは、2011年以来、防御側が侵入キャンペーンを記述するための実用的なモデルであり続けている。偵察から目的に対する行動までの7段階。ネットワークおよびエンドポイントの攻撃対象領域。決定論的標的に対してツールを操作する人間の攻撃者。防御側にとっての価値は、その妨害ロジックにある。いずれか1つの段階を阻止すれば、残りのチェーンは完遂できない。

LLMとAIエージェントはその姿に当てはまらない。攻撃者は今やモデルの重み、学習データ、システムプロンプト、ツール記述を標的にする。文書やWebページが、AIエージェントがユーザーが入力したかのように実行する命令を含むことがある。ツールアクセスを持つエージェントは、シェルコードを一切ロードすることなく、正規の信頼関係を通じてピボットできる。

MITRE ATLASとOWASP LLM Top 10はどちらもこれらの脅威をカタログ化している。ATLAS v5.4.0（2026年2月）は16の戦術、84のテクニック、42のケーススタディを持ち、その範囲は間接プロンプトインジェクションやエージェント型コマンドアンドコントロールにまで及ぶ。OWASPの2025 LLM Top 10は、アプリケーション構築者向けに10のリスクカテゴリを優先順位付けしている。どちらもマトリクスまたはリスクリストとして整理されている。どちらもキルチェーンではない。

本書は、同じ内容をキルチェーンの形で見たものである。すでにキルチェーンの段階で思考しているSOCアナリストと検知エンジニアのために書かれている。

本書は正典の7段階に加えて3つのことを行う。AIサプライチェーン自体に対する敵対者の活動のための新しい攻撃前段階（Stage 0）を追加する。元の7段階それぞれの中にAI固有のサブテクニックを追加し、検知ルールやSOCプレイブックが参照できるようEKC IDを付与する。そしてStage 7（目的に対する行動）を3つの対等なサブ段階に分割する：従来型データ窃取、モデル抽出、エージェント型ピボットである。

これはATLASやOWASPの代替ではない。同じ脅威対象領域をキルチェーンの形で見たものである。

背景

Hutchins、Cloppert、Aminによる2011年のLockheed Martin論文に由来する元のCyber Kill Chainは、侵入を7つの段階に分解する。

段階	名称	敵対者が行っていること
1	偵察	標的の選定
2	兵器化	エクスプロイトとペイロードの組み合わせ
3	配送	兵器を標的に届ける
4	悪用	それを発動させる
5	インストール	永続化のためのインプラント設置
6	コマンドアンドコントロール	制御チャネルの確立
7	目的に対する行動	ミッションの達成

このモデルは、10年以上にわたる検知エンジニアリングの実践、脅威インテリジェンス報告の構造、SOCプレイブック設計の基盤である。このフレームワークとその運用上の使用法についての書籍規模の論考はNagar and Kumar (2025), Cyber Security Kill Chain: Tactics and Strategies (Packt)である。本フレームワークはその書籍を拡張するものである。

7段階モデルでは不十分な理由

AI時代の攻撃では、元の前提が4つの点で崩れる。

攻撃には今やネットワーク前段階が存在する。公開レジストリ上にある汚染されたデータセットや侵害された事前学習済みモデルは、ファイアウォールをパケットが1つも通過する前に標的組織を侵害しうる。正典のキルチェーンは偵察から始まり、これを置く場所がない。

プロンプトはコードとデータを混在させる。LLMは命令とコンテンツを確実に区別できない。Webページ、メール、ツール記述に隠されたテキストが、モデルが従う命令になりうる。キルチェーンが別個の段階として扱う配送と悪用は、AIの場合には単一のプリミティブに崩壊する：間接プロンプトインジェクションである。

モデル自体が今や標的である。敵対者は重み、ファインチューニングデータ、システムプロンプト、展開されたモデルにエンコードされた能力を欲する。「データ窃取」ではこれを過小評価している。モデル抽出、学習データ抽出、能力マイニングはそれぞれ異なる仕組みを持ち、異なる防御を必要とする。

そしてエージェントは自身の権限を通じてピボットする。ツールアクセス（MCP、関数呼び出し、ブラウザ制御）を持つ侵害されたAIエージェントは、権限昇格やシェルコードのロードを必要としない。すでに許可されているツールを呼び出すだけである。その仕組みは従来型の横展開ではないが、標的環境への影響はそうである。

ATLASは追いついてきている。v4.9.0（2025年4月）はコマンドアンドコントロールを戦術として追加した（AML.TA0014）。v5.1.0（2025年11月）は横展開を追加した（AML.TA0015）。v5.4.0（2026年2月）時点でATLASは16戦術のマトリクスであり、SesameOp（AML.CS0042）やOpenClaw（AML.CS0050、AML.CS0051）のケーススタディを含め、エージェント型脅威を良好にカバーしている。本フレームワークはATLASのギャップを埋めるために存在するのではない。ATLASはマトリクスとして機能する。本フレームワークが存在するのは、キルチェーンの段階で推論する防御側が同じ内容を利用できる必要があり、元の段階妨害ロジックが依然として機能するからである。

フレームワークの概要

flowchart LR
    S0["Stage 0<br/><b>Model Supply<br/>Chain Compromise</b><br/><i>NEW</i>"]:::new
    S1["Stage 1<br/>Reconnaissance<br/><i>AI-augmented</i>"]:::mod
    S2["Stage 2<br/>Weaponization<br/><i>AI-augmented</i>"]:::mod
    S3["Stage 3<br/>Delivery<br/><i>AI-augmented</i>"]:::mod
    S4["Stage 4<br/>Exploitation<br/><i>AI-augmented</i>"]:::mod
    S5["Stage 5<br/>Installation<br/><i>AI-augmented</i>"]:::mod
    S6["Stage 6<br/>Command & Control<br/><i>AI-augmented</i>"]:::mod
    S7["Stage 7<br/>Actions on Objectives<br/><i>EXPANDED</i>"]:::expanded
    S7A["7a. Data Exfiltration<br/><i>classical</i>"]:::expanded
    S7B["7b. Model Extraction<br/><i>NEW</i>"]:::new
    S7C["7c. Agentic Pivot<br/><i>NEW</i>"]:::new

    S0 --> S1 --> S2 --> S3 --> S4 --> S5 --> S6 --> S7
    S7 --> S7A
    S7 --> S7B
    S7 --> S7C

    classDef new fill:#ffe6e6,stroke:#cc0000,stroke-width:2px,color:#000
    classDef mod fill:#fff4d6,stroke:#cc8800,stroke-width:2px,color:#000
    classDef expanded fill:#e6f0ff,stroke:#0044cc,stroke-width:2px,color:#000

赤は新規、黄はAIサブテクニックを持つオリジナル、青はオリジナルだが構造的に拡張されたもの。

このフレームワークは、7段階のオリジナルに3つの要素を追加する。新しい攻撃前ステージであるStage 0がReconnaissanceの前に位置し、AIサプライチェーンに対する敵対者の活動をカバーする。各オリジナルステージには、EKC IDを持つAI固有のサブテクニックが追加され、検知ルールや脅威レポートがそれらを参照できるようになる。Stage 7は3つの並列サブステージに分割される。古典的なexfiltrationは7aとしてそのままの位置に残り、Model Extraction (7b)とAgentic Pivot (7c)がその隣に追加される。これらはexfiltrationの変種ではない。独自の制御を必要とする、明確に異なる敵対者の目的である。

ステージごとの仕様

以下の各ステージ仕様は4つの事項を扱う。敵対者が何をしているか。AI固有のサブテクニック（検知ルールや脅威レポートで引用できるEKC ID付き）。防御者が行動に移せる検知シグナル。緩和策。

Stage 0. Model Supply Chain Compromise（新規）

敵対者が何をしているか。 標的組織が後で自社のAIシステムに取り込むモデル、データセット、ファインチューニングアダプタ、または配布チャネルを侵害する。敵対者は標的のネットワークに一切触れない。サプライチェーンに侵害を仕込み、待つ。

サブテクニック。

ID	サブテクニック	説明
EKC-0.1	Training data poisoning	将来のトレーニング実行が取り込む公開データセット、ウェブスクレイピングされたコーパス、またはラベリングパイプラインに、操作されたサンプルを注入する。
EKC-0.2	Fine-tuning backdoor	隠されたトリガーと挙動のペアを持つファインチューニングアダプタ、LoRA、またはフルモデルチェックポイントを配布する。
EKC-0.3	Pre-trained model trojan	もっともらしい名前、または実在するモデルへのタイポスクワッティングによって、悪意あるモデルを公開レジストリ（Hugging Face、Ollama Library、GitHub）に公開する。
EKC-0.4	Tokenizer or preprocessing manipulation	上流の依存関係にあるトークン化、正規化、または特徴抽出コードを改変し、隠れた入力チャネルを追加する。
EKC-0.5	Malicious MCP server or tool catalog entry	下流のエージェントによって呼び出され、ツール説明自体のプロンプトインジェクションを通じてそれらを悪用するよう設計された、ツール説明、MCPサーバーマニフェスト、または関数定義を公開する。

検知シグナル。

デプロイされたモデルアーティファクトにおける来歴の欠落（署名済みマニフェストなし、既知のトレーニングデータ系譜なし）。
今日レジストリから取得したモデルと、以前の日付に同じ識別子で取得したモデルとの間の暗号ハッシュのドリフト。
異常に長い、指示のようなテキストや非印刷可能文字を含む、サードパーティMCPサーバーからのツール説明。
厳選されたトリガースイートでプローブした際の、デプロイされたモデルにおける異常なニューロン活性化分布。

主要な緩和策。

デプロイされたすべてのモデルについて、モデル部品表（M-BOM）を維持する。これにはベースモデルの識別情報、ファインチューニングデータのハッシュ、アダプタの来歴を含める。
モデルアーティファクトに署名し検証する。レジストリでホストされるモデルについては、特定のコミットハッシュを固定する。
新たに追加されたMCPサーバーを隔離し、サンドボックス化する。ツール説明を信頼できない入力としてレビューする。
公開されているベンチマークを用いて、デプロイされたモデルに対して定期的なバックドアトリガースキャンを実施する。

Stage 1. Reconnaissance（AI拡張）

敵対者が何をしているか。 標的のAIシステム、それらが何をできるか、ガードレールが何か、そして何に接続されているかを見つける。

AI拡張サブテクニック。

ai-kill-chain

人気