S0 --> S1 --> S2 --> S3 --> S4 --> S5 --> S6 --> S7
S7 --> S7A
S7 --> S7B
S7 --> S7C

classDef new fill:#ffe6e6,stroke:#cc0000,stroke-width:2px,color:#000
classDef mod fill:#fff4d6,stroke:#cc8800,stroke-width:2px,color:#000
classDef expanded fill:#e6f0ff,stroke:#0044cc,stroke-width:2px,color:#000

赤は新規、黄はAIサブテクニックを伴うオリジナル、青は構造的に拡張されたオリジナルです。

このフレームワークは、7段階からなるオリジナルに3つの要素を追加します。敵対者がAIサプライチェーンに対して行う活動をカバーするため、新たな攻撃前ステージであるステージ 0 が偵察の前に配置されます。元の各ステージには、検出ルールや脅威レポートで参照できるように、EKC IDを持つAI固有のサブテクニックが追加されます。ステージ 7 は、3つの対等なサブステージに分割されます。従来の外部送信は 7a としてそのまま維持され、モデル抽出（7b）とエージェントピボット（7c）が並んで追加されます。これらは外部送信の変種ではありません。それぞれ独自の対策を必要とする、異なる敵対者の目的です。

## ステージごとの仕様

以下の各ステージ仕様は、4つの項目をカバーします。敵対者が何を行っているか。AI固有のサブテクニック（検出ルールや脅威レポートで引用できる`EKC` ID付き）。防御側が対処できる検出シグナル。緩和策。

### ステージ 0. モデルサプライチェーン侵害（新規）

**敵対者が行うこと。** 標的組織が後で自社のAIシステムに取り込むことになるモデル、データセット、ファインチューニングアダプタ、または配布チャネルを侵害します。敵対者は標的のネットワークに一切接触しません。サプライチェーンに侵害を仕込み、待機します。

**サブテクニック。**

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-0.1 | トレーニングデータの毒化 | 将来のトレーニング実行が取り込む公開データセット、Webスクレイピングされたコーパス、またはラベリングパイプラインに、操作された事例を注入します。 |
| EKC-0.2 | ファインチューニングバックドア | 隠されたトリガーと動作のペアを持つ、ファインチューニングアダプタ、LoRA、またはフルモデルのチェックポイントを配布します。 |
| EKC-0.3 | 事前学習モデルトロイの木馬 | 実在するモデルに似せた名前、またはタイポスクワッティングにより、悪意のあるモデルを公開レジストリ（Hugging Face、Ollama Library、GitHub）に公開します。 |
| EKC-0.4 | トークナイザーまたは前処理の操作 | 上流依存関係におけるトークン化、正規化、または特徴抽出コードを変更し、隠れた入力チャネルを追加します。 |
| EKC-0.5 | 悪意のあるMCPサーバーまたはツールカタログエントリ | 下流のエージェントに呼び出されるように設計されたツール説明、MCPサーバーマニフェスト、または関数定義を公開し、ツール説明自体へのプロンプトインジェクションを通じて悪用します。 |

**検出シグナル。**
- デプロイされたモデルアーティファクトにおける来歴の欠落（署名されたマニフェストがない、トレーニングデータの系統が不明）。
- 今日レジストリから取得したモデルと、以前の日付に取得した同じ識別子の間の暗号学的ハッシュのずれ。
- 異常に長い指示風のテキストや非印刷文字を含む、第三者MCPサーバーからのツール説明。
- 厳選されたトリガースイートでプローブした際の、デプロイ済みモデルにおける異常なニューロン活性化分布。

**主な緩和策。**
- すべてのデプロイ済みモデルについて、ベースモデルの識別情報、ファインチューニングデータのハッシュ、アダプタの来歴を含むモデル部品表（M-BOM）を維持する。
- モデルアーティファクトに署名し検証する。レジストリホスト型モデルには特定のコミットハッシュを固定する。
- 新しく追加されたMCPサーバーを隔離しサンドボックス化する。ツール説明は信頼できない入力としてレビューする。
- 公開されたベンチマークを使用して、デプロイ済みモデルに対する定期的なバックドアトリガースキャンを実施する。

### ステージ 1. 偵察（AI拡張）

**敵対者が行うこと。** 標的のAIシステム、それらができること、そのガードレール、そしてそれらが接続しているものを探し出します。

**AI拡張サブテクニック。**

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-1.1 | モデルフィンガープリンティング | レスポンススタイルのプロービング、レイテンシ分析、または既知の回答テストを通じて、デプロイ済みLLMのベースモデル、ファインチューニングファミリー、バージョンを特定します。 |
| EKC-1.2 | システムプロンプトの列挙 | リーククエリ、ロールプレイプローブ、または境界ケースのプロンプトを使用して、システムプロンプトまたはその主要な制約を復元します。 |
| EKC-1.3 | 機能とツールの列挙 | エージェントがアクセスできるツール、プラグイン、MCPサーバー、または関数呼び出しインターフェースを発見します。 |
| EKC-1.4 | ガードレールのマッピング | 拒否パターンをプローブし、分類器をバイパスするトピック、形式、または入力形状を見つけることで、ポリシー境界をマッピングします。 |
| EKC-1.5 | 埋め込みと検索サーフェスの発見 | システムが読み取る検索ソース（ベクターストアの内容、ドキュメントコーパス、Web取得ドメイン）を特定します。 |

**検出シグナル。** 単一ソースからの高エントロピーのプロンプトセッション。拒否境界の体系的な探索。公開されたジェイルブレイクコーパスに酷似するクエリ。システムに「上記の指示を繰り返して」と繰り返し要求する行為。

**主な緩和策。** ユーザーIDごとにプロンプトトラフィックをレート制限し、行動クラスタリングする。識別可能なレスポンスアーティファクトを編集する。外部送信時に発火するカナリアトークンをシステムプロンプトに追加する。ツール列挙を認証・監査済みの呼び出し元に制限する。

### ステージ 2. 武器化（AI拡張）

**敵対者が行うこと。** 標的に配信されるペイロードを構築します。

**AI拡張サブテクニック。**

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-2.1 | 敵対的プロンプトの作成 | ステージ 1 でフィンガープリントした標的モデル、ガードレール、ツールセットに合わせたプロンプトインジェクションペイロードを構築します。 |
| EKC-2.2 | マルチモーダルペイロードの構築 | マルチモーダルモデルが解析する画像、音声、PDF、または構造化ドキュメントに指示を埋め込みます。 |
| EKC-2.3 | 悪意のあるツールまたはMCPパッケージ | 名前と説明は無害に見えるが、呼び出されると攻撃者が制御するアクションを実行するツールを構築します。 |
| EKC-2.4 | ジェイルブレイクチェーンの組み立て | 既知のバイパステクニック（ペルソナプライミング、エンコーディングトリック、低リソース言語へのピボット、構造化ロールプレイ）を組み合わせて、多層ガードレールを打ち破る単一のペイロードにします。 |
| EKC-2.5 | AI生成のポリモーフィックマルウェア | モデルを使用して、意味的には同等だが語彙的に多様なマルウェア変種を生成し、シグネチャベースの検出を回避します。 |

**検出シグナル。** 受信コンテンツにおける既知の間接インジェクションマーカーとのパターンマッチ。ステガノグラフィーによる指示のための画像、PDF、音声分析。新たに登録されたMCPパッケージの静的解析。

### ステージ 3. 配信（AI拡張）

**敵対者が行うこと。** ペイロードをAIシステムまたはその運用者に届けます。

**AI拡張サブテクニック。**

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-3.1 | Webコンテンツを介した間接プロンプトインジェクション | ブラウジングまたはWeb取得エージェントが、指示を含む攻撃者制御のページを取得します。 |
| EKC-3.2 | RAGコーパスの毒化 | 攻撃者が、後にLLMのコンテキストとして取得されるコンテンツ（サポートチケット、公開ドキュメント、コード貢献、ベクターストアへの取り込みなどを通じて）を送り込みます。 |
| EKC-3.3 | 電子メールまたはメッセージ経由のインジェクション | AIアシスタントが読んだり要約したりするように設定されている電子メールに配置された指示。 |
| EKC-3.4 | ドキュメント経由のインジェクション | AIワークフローが処理するPDF、スプレッドシート、またはオフィスドキュメントに配置された指示。 |
| EKC-3.5 | ツール説明の毒化 | エージェントに公開されるMCPツールの説明やスキーマ、または関数定義に配置された指示。 |
| EKC-3.6 | 画像、音声、またはQRコードインジェクション | マルチモーダルエージェントが処理する非テキストモダリティにエンコードされた指示。 |

**検出シグナル。** 信頼できないコンテンツストリームにおける異常な指示風テキスト。マルチモーダルパイプラインにおける画像のアルファチャネルとメタデータの高エントロピー。取得したドキュメント内の予期しない言語の変化。

### ステージ 4. 悪用（AI拡張）

**敵対者が行うこと。** ペイロードをトリガーします。AIの言葉で言えば、モデルに攻撃者の指示に従わせる、またはそのポリシーに違反させることです。

**AI拡張サブテクニック。**

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-4.1 | 直接プロンプトインジェクションの成功 | ユーザー向けプロンプトが攻撃者のポリシー違反を達成します。 |
| EKC-4.2 | 間接プロンプトインジェクションの成功 | ステージ 3 で配信された指示が、コンテンツ処理時にモデルによって実行されます。 |
| EKC-4.3 | 混乱した代理人（confused deputy）によるツール呼び出し | モデルがエージェント自身の権限を使用して、攻撃者の代わりに特権ツールを呼び出します。 |
| EKC-4.4 | ガードレールまたは分類器のバイパス | 安全分類器またはルールベースのフィルターが回避され、許可されていないコンテンツが生成されたり、許可されていないアクションが実行されたりします。 |
| EKC-4.5 | メモリまたはコンテキストの汚染 | 永続メモリストアが、将来のセッションに影響を与える攻撃者制御のコンテンツで更新されます。 |

**検出シグナル。** 引数が信頼できない入力文字列に由来するツール呼び出し。システムプロンプトのカナリアトークンを含む出力。単一の取得ドキュメントによって引き起こされる会話状態の大きな逸脱。

### ステージ 5. インストール（AI拡張）

**敵対者が行うこと。** 侵害が単一のセッションを超えて存続するように、永続化を設定します。

**AI拡張サブテクニック。**

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-5.1 | 永続メモリへのインプラント | 将来のセッションで再読み込みされる長期メモリ、ユーザー設定ストア、またはアカウントごとのコンテキストにコンテンツを注入します。 |
| EKC-5.2 | システムプロンプトの上書き | カスタムGPT、アシスタント設定、またはエージェント定義を変更して、そのシステムプロンプトに攻撃者の指示を埋め込みます。 |
| EKC-5.3 | 悪意のあるコネクタのインストール | ユーザーまたは管理者に、攻撃者に永続的な足場を与える攻撃者制御のMCPサーバー、プラグイン、またはブラウザ拡張機能をインストールさせます。 |
| EKC-5.4 | RAGコーパスの永続化 | 毒化されたドキュメントが再インデックス処理をまたいでベクターストアに残るようにします。 |
| EKC-5.5 | 保存されたスキルまたはワークフローの汚染 | エージェントがスケジュールまたはオンデマンドで読み込んで実行する、保存されたスキル、自動化、または保存済みワークフローを変更します。 |

**検出シグナル。** 正当なユーザー操作に起因しないメモリストアへの新しいエントリ。システムプロンプト、カスタムGPT、または保存済みスキルへの不正な変更。新たに登録されたMCPエンドポイント。想定されたパイプライン外でのベクターストア取り込みイベント。

### ステージ 6. コマンドアンドコントロール（AI拡張）

**敵対者が行うこと。** さらなる活動を指示できる、対話型またはスケジュールされたチャネルを保持します。

AIエージェントは新しいC2チャネルを導入します。ATLASは現在、これらの一部をカバーしています（例えば、AI Service API AML.T0096、SesameOpケーススタディ AML.CS0042 は、OpenAI Assistants APIがC2インフラストラクチャとして使用されていることを文書化しています）。以下のサブテクニックは、同じ現象をキルチェーンのステージとして整理したものです。

**AI拡張サブテクニック。**

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-6.1 | C2としてのLLMチャネル | エージェントがスケジュールで読み取る、一見無害なユーザープロンプト、取得ドキュメント、またはツール出力にコマンドをエンコードします。 |
| EKC-6.2 | メモリ媒介型C2 | エージェントの長期メモリストアをデッドドロップとして使用します。攻撃者はあるエントリポイントを通じてメモリに指示を書き込み、エージェントは別のエントリポイントを通じてそれらに基づいて行動します。 |
| EKC-6.3 | RAG媒介型C2 | ベクターストア内の毒化されたドキュメントを更新して新しい指示を配信します。エージェントは次の関連クエリでそれらを取得します。 |
| EKC-6.4 | ツール出力C2 | 侵害されたMCPサーバーが、呼び出しのたびに指示を含むレスポンスを返し、エージェントのその後の動作を誘導します。 |
| EKC-6.5 | セッション間ステガノグラフィーC2 | エージェントがセッション間で受け渡すフィールド（ユーザーノート、プロジェクト説明、チケットコメント）にコマンドペイロードをエンコードします。各断片は単独では無害に見えるため、コンテンツ分類を回避します。 |

**検出シグナル。** 同じ取得ソースから指示が繰り返し届いていることを示す会話グラフ分析。ツールの文書化された目的と矛盾する命令文を含む外部ツールからの出力。エージェント間フィールドのエントロピー分析。

### ステージ 7. 目的に対するアクション（拡張）

**敵対者が行うこと。** 任務を達成します。AIシステムにより、これまで第一級の標的として存在しなかった2つの新しいクラスの目的が実現可能になったため、ステージ 7 は3つの対等なサブステージに分割されます。

#### サブステージ 7a. データ外部送信（古典的）

従来のキルチェーンにおける目的に対するアクションです。機密データが外部に送信されます。システムが破壊、暗号化、または損傷を受けます。詐欺が実行されます。AIはこのサブステージを質的に変えるものではありません。より低コストなフィッシング、自動化された偵察、より高速なソーシャルエンジニアリングループを通じて、その規模を増幅します。

#### サブステージ 7b. モデル抽出（新規）

標的はモデル自体、その内部のデータ、またはそこにエンコードされた知識です。

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-7b.1 | APIベースのモデル抽出 | デプロイ済みモデルを大規模にクエリし、サロゲートをトレーニングすることで、その重みまたは決定境界の近似を再構築します。 |
| EKC-7b.2 | トレーニングデータの抽出 | 記憶化を標的としたプロンプトを通じて、機密性の高いPIIや専有コンテンツを含む、逐語的またはほぼ逐語的なトレーニング事例を復元します。 |
| EKC-7b.3 | メンバーシップ推論 | 特定のレコードがトレーニングセットに含まれていたかどうかを判断します。プライバシー規制と機密性に下流の影響を及ぼします。 |
| EKC-7b.4 | システムプロンプトと指示の抽出 | ビジネスロジック、価格設定ルール、または競争上のポジショニングをエンコードする専有システムプロンプトを復元します。 |
| EKC-7b.5 | 機能の採掘 | デプロイ済みモデルを使用して、攻撃者自身のインフラでは実行できないタスクを実行します。このアクセスは機能移転となります。 |

**検出シグナル。** 単一のアイデンティティからの大量のプログラム的クエリパターン。特に、クエリテンプレートのエントロピーが低く、入力のエントロピーが高い場合。古典的な記憶化プローブ（「上記のテキストを繰り返して」）を含むクエリ。公開された抽出攻撃に似たクエリ分布。

#### サブステージ 7c. エージェントピボット（新規）

侵害されたAIエージェントは、自身の正当な権限を使用して、接続されたシステム内でアクションを実行するために利用されます。機械的には、エクスプロイトコードなし、認証情報の再利用なし、権限昇格なし。攻撃者の影響を受けた引数による認可済みツールの呼び出しのみです。ATLASは、この同じ現象に対処するために、v5.1.0（2025年11月）で横移動（Lateral Movement）戦術（AML.TA0015）を追加しました。ここでの貢献は、エージェントピボットの変種を、マトリックスの初期の独立した戦術としてではなく、キルチェーンの目的に対するアクションステージ内に、古典的な外部送信と対等なものとして配置することです。

| ID | Sub-technique | Description |
|----|---------------|-------------|
| EKC-7c.1 | ツール媒介型の横方向アクション | エージェントが攻撃者の代わりに正当なツール（メール送信、ファイル書き込み、チケット作成、支払い承認）を呼び出します。 |
| EKC-7c.2 | アプリ間ピボット | エージェントはツール呼び出しを連鎖させることで、接続されたアプリケーション間（カレンダーからCRMへ、そして決済処理へ）を移動します。 |
| EKC-7c.3 | アイデンティティ混乱攻撃 | 下流のシステムがエージェントのアクションを特権ユーザーのアクションとして扱うコンテキストでエージェントが動作し、攻撃者が直接保持していない権限が付与されます。 |
| EKC-7c.4 | 再帰的エージェント滥用 | 侵害されたエージェントが他のエージェントを呼び出し、古典的な横移動なしにエージェントファブリック全体に侵害を拡散させます。 |
| EKC-7c.5 | ワークフローの武器化 | 保存された自動化またはスケジュールされたワークフローが、攻撃者が意図したアクションを繰り返し実行します。 |

**検出シグナル。** 引数が信頼できない上流ソースに由来するコンテンツを含むツール呼び出し。人間のアクションが越えなかった信頼境界を越えるツール呼び出しグラフ。セッションあたりのアプリ間呼び出しの急増。エージェントが過去の会話履歴にない受信者に対して開始したアウトバウンド通信。

## MITRE ATLAS、OWASP LLM Top 10、NIST AI RMFとの関係

EKCは既存のAIセキュリティフレームワークを補完するものです。そのいずれも置き換えるものではありません。

ATLASが最も近い比較対象です。ATLASはATT&CKをモデルにした敵対者戦術マトリックスであり、AIシステム向けの並列タクソノミーとして構成されています。v5.4.0（2026年2月）時点で、16の戦術、84のテクニック、56のサブテクニック、32の緩和策、42のケーススタディを備えています。このフレームワークに関連する進化としては、v4.9.0（2025年4月）でコマンドアンドコントロール（AML.TA0014）が追加され、v5.1.0（2025年11月）で横移動（AML.TA0015）が追加されました。ATLASはマトリックスとして構成されています。EKCは、同じ脅威サーフェスをキルチェーンでシーケンス化したビューを提供します。ほとんどのEKCサブテクニックは、1つ以上のATLASテクニックに対応します。[`mappings/mitre-atlas-mapping.md`](https://github.com/gouravnagar-infosec/ai-kill-chain/blob/HEAD/mappings/mitre-atlas-mapping.md) を参照してください。両方を使用してください。キルチェーンのステージで推論する防御側にはEKC、戦術・テクニックマトリックスで推論するレッドチームや脅威インテリジェンスアナリストにはATLAS。

LLMアプリケーション向けのOWASP Top 10（2025）は、2024年11月にOWASP GenAI Security Projectによって公開され、アプリケーション開発者向けのリスク優先順位付けリストです。その10のカテゴリは次のとおりです。プロンプトインジェクション（LLM01）、機密情報の開示（LLM02）、サプライチェーン（LLM03）、データおよびモデルの毒化（LLM04）、不適切な出力処理（LLM05）、過剰なエージェンシー（LLM06）、システムプロンプト漏えい（LLM07）、ベクターおよび埋め込みの弱点（LLM08）、誤情報（LLM09）、無制限の消費（LLM10）。このリストはリスクカテゴリごとに編成されています。各リスクが攻撃のどこで悪用されるかは指定されていません。EKCのマッピングファイル（`mappings/owasp-llm-mapping.md`）がそのビューを提供します。各OWASPカテゴリを、その脆弱性が運用可能になるEKCステージに対応付けます。

NIST AIリスクマネジメントフレームワーク（AI RMF 1.0）は、異なるレベルで機能します。AIリスクに対して4つのガバナンス機能（Govern、Map、Measure、Manage）を提供します。関連する生成AIプロファイル（NIST AI 600-1、2024年7月）は、生成AI固有の12のリスクカテゴリと200以上の推奨アクションをカタログ化しています。これらはプログラム的なリスク管理フレームワークであり、敵対者モデルではありません。EKCは、NIST RMFのMapおよびMeasure機能が運用上完全であるために必要な、敵対者側の詳細を提供します。

ATT&CKは、非AIサイバー運用における標準的な敵対者戦術フレームワークであり続けます。EKCのステージ 1 から 7 は、それらのステージで使用されるATT&CKテクニックと完全に互換性があります。EKCは、ATT&CKによる古典的な敵対者行動のカバレッジを置き換えようとせずに、その互換性の上にAI固有のサブテクニックを追加します。

## 実例ケーススタディ

[`examples/case-studies.md`](https://github.com/gouravnagar-infosec/ai-kill-chain/blob/HEAD/examples/case-studies.md) は、4つのシナリオをキルチェーンに沿って最初から最後まで解説しています。

1. ブラウジングエージェントへの間接プロンプトインジェクション。公開Webページに、ユーザーの開いているタブのコンテンツを外部送信するようにエージェントのツール使用動作を乗っ取る指示が含まれています。
2. MCPサーバーの侵害。公開レジストリに公開された第三者のMCPサーバーが、そのツール説明にバックドアを含み、下流のエージェントが特定のトピックを照会するとトリガーされます。
3. エンタープライズアシスタントへのRAGコーパスの毒化。攻撃者がサポートチケットを送信し、その内容が企業のRAGコーパスに取り込まれ、後に内部アシスタントが取得して機密設定を開示させます。
4. 専有ドメインモデルに対するAPIベースのモデル抽出。競合他社が認証済みAPIアクセスを使用してファインチューニングされたドメインモデルを大規模にクエリし、その動作の多くを再現するサロゲートをトレーニングします。

各ケーススタディは、観察された敵対者の行動を特定のEKCサブテクニックIDに対応付け、その活動を最も早い段階で表面化させたであろう検出シグナルを特定します。

## 検出と緩和のガイダンス

キルチェーンを破壊するロジックはそのまま引き継がれます。1つのステージを破れば、チェーンは破壊されます。防御チームは、管理策を1つのポイントに集中させるのではなく、ステージ全体に分散させるべきです。

ステージ別の最も効果的な管理策：- **ステージ0.** モデル部品表。署名付きアーティファクト。レジストリのピンニング。定期的なバックドアプロービング。
- **ステージ1.** プロンプトトラフィックの行動分析。システムプロンプト内のカナリアトークン。プローブ的なクエリに対するレート制限。
- **ステージ2および3.** 信頼できないすべての受信コンテンツストリーム（Web、メール、RAGコーパス、MCPツールの説明、マルチモーダル入力）に対する間接インジェクション検出。
- **ステージ4.** ツール呼び出し引数のリネージ追跡。引数が信頼できないテキストに由来するツール呼び出しは、デフォルトで高リスクとして扱われます。
- **ステージ5.** メモリ書き込みの監査証跡。システムプロンプトと保存済みスキルに対する変更管理。MCPエンドポイントのアテステーション。
- **ステージ6.** 繰り返し現れる指示元を明らかにする会話グラフ分析。エージェント間フィールドのエントロピー分析。
- **ステージ7a.** 従来型のDLP、モニタリング、セグメンテーション。
- **ステージ7b.** クエリパターン分析。レッドチームスイートでの記憶化（メモリゼーション）プローブ。モデル出力のウォーターマーキング。
- **ステージ7c.** ツールごとのブラスト半径（被害範囲）制限。影響度の高いツールへのヒューマン・イン・ザ・ループ。アイデンティティ伝搬のレビュー：下流システムは、ユーザーではなくエージェントに代わって動作していることを認識しているか？

## 独自性の声明

本フレームワークが従来の取り組みにはない形で貢献する点は以下のとおりです。

1. Lockheed MartinモデルにAI時代の脅威をキルチェーンのステージ順に統合した点。ディフェンダーチームが10年以上にわたり運用を構築してきた時間的フローとステージ撹乱のロジックは維持されています。MITRE ATLAS、OWASP LLM Top 10、NIST AI RMFはいずれもマトリクスまたはリスク優先度リストとして構成されており、キルチェーンとして構成されたものはありません。
2. 攻撃前の単一ステージとしてのステージ0（モデルサプライチェーン侵害）。トレーニングデータのポイズニング、ファインチューニングによるバックドア、悪意のあるモデル・アダプタの配布、ツールカタログの侵害は、正規の7ステージに先行する単一の順次ステージに集約されています。ATLASは同等のテクニックをResource Development、Initial Access、ML Model Accessの各戦術に分散させています。単一ステージとしての枠組みこそが貢献点です。
3. ステージ7を3つの対等なサブステージに分割した点。Model Extraction（7b）とAgentic Pivot（7c）は、Actions on Objectivesステージ内で、従来型のデータ窃取（7a）と並ぶ第一級の敵対者目標として命名されています。これにより、7ステージの骨格に沿ってすでに運用されているSOCプレイブックの設計を支援します。
4. `EKC-x.y` サブテクニックID体系。これらのIDは、検出ルール、脅威レポート、SOCドキュメントで参照されるように設計されており、MITRE ATLASのテクニックおよびOWASP LLM Top 10のカテゴリに対して一対多の相互参照を持ちます。
5. 終始ディフェンダー側の視点での枠組み。本フレームワークは、キルチェーンのステージを分析単位とする検出エンジニアリングおよびSOC利用に最適化されており、マトリクスとして機能する方が適しているレッドチーム向けタクソノミーやリスク分類のユースケース向けではありません。

本フレームワークは、Lockheed Martin Cyber Kill Chain（Hutchins、Cloppert、Amin、2011年）と、Nagar and Kumar（2025年）による運用面での扱いに基づいています。元の7ステージ構成はそのまま維持されています。ATLASとOWASP LLM Top 10もそのまま維持されています。これは、同じ脅威面をキルチェーンの観点から捉えたものであり、そうした用語で既に活動している読者を対象としています。

## 引用方法

推奨される引用（APA）：

> Nagar, G. (2026). *Extended Cyber Kill Chain for AI-Era Threats* (Version 1.0) [Framework]. Zenodo. https://doi.org/10.5281/zenodo.20349357

BibTeX:```bibtex
@misc{nagar2026extendedkillchain,
  author       = {Nagar, Gourav},
  title        = {Extended Cyber Kill Chain for {AI}-Era Threats},
  year         = {2026},
  month        = {5},
  version      = {1.0},
  publisher    = {Zenodo},
  doi          = {10.5281/zenodo.20349357},
  url          = {https://doi.org/10.5281/zenodo.20349357},
  howpublished = {\url{https://doi.org/10.5281/zenodo.20349357}},
  note         = {Extends the kill-chain treatment in Nagar and Kumar (2025), Cyber Security Kill Chain: Tactics and Strategies, Packt Publishing.}
}