gouravnagar-infosec/ai-kill-chainLLM 및 에이전틱 AI 위협에 대한 Lockheed Martin Cyber Kill Chain의 방어자 측 확장입니다. 모델 공급망 단계를 추가하고 목표 달성 단계를 유출, 모델 추출, 에이전틱 피벗으로 세분화합니다.
LLM 및 에이전트형 AI 공격에 대응하는 방어자를 위한 Lockheed Martin 사이버 킬 체인의 업데이트. 모델 공급망 침해를 위한 사전 공격 단계를 추가한다. 원래 일곱 단계 각각에 AI 특화 하위 기법을 추가한다. Actions on Objectives 단계를 세 개의 동등한 하위 단계로 분할한다: 전통적 데이터 유출, 모델 추출, 에이전트형 피벗.
저자: Gourav Nagar 버전: 1.0 날짜: 2026년 5월 19일 저장소: https://github.com/gouravnagar-infosec/ai-kill-chain
인용: Nagar, G. (2026). Extended Cyber Kill Chain for AI-Era Threats (Version 1.0). Zenodo. https://doi.org/10.5281/zenodo.20349357
Lockheed Martin 사이버 킬 체인은 2011년 이후 방어자가 침해 캠페인을 설명하는 작업 모델이었다. 정찰부터 목표에 대한 행동까지 일곱 단계. 네트워크 및 엔드포인트 공격 표면. 결정론적 대상에 대해 도구를 운용하는 인간 공격자. 방어자에게 그 가치는 차단 논리다: 어느 한 단계를 막으면 나머지 체인은 완성될 수 없다.
LLM과 AI 에이전트는 그 그림에 들어맞지 않는다. 공격자는 이제 모델 가중치, 학습 데이터, 시스템 프롬프트, 도구 설명을 표적으로 삼는다. 문서나 웹 페이지가 AI 에이전트가 마치 사용자가 입력한 것처럼 실행할 지시를 담을 수 있다. 도구 접근 권한을 가진 에이전트는 셸코드를 전혀 로드하지 않고도 정당한 신뢰 관계를 통해 피벗할 수 있다.
MITRE ATLAS와 OWASP LLM Top 10 모두 이러한 위협을 분류한다. ATLAS v5.4.0(2026년 2월)은 16개 전술, 84개 기법, 42개 사례 연구를 갖추고 있으며, 간접 프롬프트 인젝션과 에이전트형 명령 및 제어까지 포괄한다. OWASP의 2025 LLM Top 10은 애플리케이션 개발자를 위한 열 가지 위험 범주를 우선순위로 제시한다. 둘 다 매트릭스나 위험 목록으로 구성되어 있다. 어느 것도 킬 체인이 아니다.
이 문서는 동일한 내용을 킬 체인 형태로 본 관점이다. 이미 킬 체인 단계로 사고하는 SOC 분석가와 탐지 엔지니어를 위해 작성되었다.
정규 일곱 단계 위에 세 가지를 더한다. AI 공급망 자체에 대한 적대자 활동을 위한 새로운 사전 공격 단계(단계 0)를 추가한다. 원래 일곱 단계 각각 안에 AI 특화 하위 기법을 추가하며, 탐지 규칙과 SOC 플레이북이 참조할 수 있도록 EKC ID를 부여한다. 그리고 단계 7(목표에 대한 행동)을 세 개의 동등한 하위 단계로 분할한다: 전통적 데이터 유출, 모델 추출, 에이전트형 피벗.
이것은 ATLAS나 OWASP를 대체하는 것이 아니다. 동일한 위협 표면을 킬 체인 형태로 본 관점이다.
Hutchins, Cloppert, Amin의 2011년 Lockheed Martin 논문에서 비롯된 원래 사이버 킬 체인은 침해를 일곱 단계로 나눈다.
| 단계 | 이름 | 적대자가 하는 일 |
|---|---|---|
| 1 | 정찰 | 표적 선택 |
| 2 | 무기화 | 익스플로잇과 페이로드 결합 |
| 3 | 전달 | 무기를 표적에 전달 |
| 4 | 익스플로잇 | 무기 작동 |
| 5 | 설치 | 지속성 심기 |
| 6 | 명령 및 제어 | 제어 채널 수립 |
| 7 | 목표에 대한 행동 | 임무 달성 |
이 모델은 십여 년 이상의 탐지 엔지니어링 실무, 위협 인텔리전스 보고 구조, SOC 플레이북 설계의 기초다. 이 프레임워크와 그 운영적 활용에 대한 책 분량의 저술로 Nagar와 Kumar (2025), Cyber Security Kill Chain: Tactics and Strategies (Packt)가 있다. 이 프레임워크는 그 책을 확장한다.
원래의 가정은 AI 시대 공격에서 네 곳에서 깨진다.
공격에는 이제 네트워크 이전 단계가 있다. 공개 레지스트리에 있는 오염된 데이터셋이나 침해된 사전 학습 모델은 어떤 패킷이 방화벽을 넘기 전에 표적 조직을 침해할 수 있다. 정규 킬 체인은 정찰에서 시작하며 이것을 둘 곳이 없다.
프롬프트는 코드와 데이터를 혼합한다. LLM은 지시와 내용을 안정적으로 구분하지 못한다. 웹 페이지, 이메일, 도구 설명에 숨겨진 텍스트가 모델이 따르는 지시가 될 수 있다. 킬 체인이 별개의 전달과 익스플로잇 단계로 취급하는 것이 AI의 경우에는 단일 원시 요소로 붕괴한다: 간접 프롬프트 인젝션.
모델 자체가 이제 표적이다. 적대자는 가중치, 파인튜닝 데이터, 시스템 프롬프트, 배포된 모델에 인코딩된 능력을 원한다. "데이터 유출"은 이것을 과소평가한다. 모델 추출, 학습 데이터 추출, 능력 마이닝은 각각 다른 역학을 가지며 다른 방어를 필요로 한다.
그리고 에이전트는 자신의 권한을 통해 피벗한다. 도구 접근 권한(MCP, 함수 호출, 브라우저 제어)을 가진 침해된 AI 에이전트는 권한 상승이나 셸코드 로드가 필요 없다. 이미 허용된 도구를 호출한다. 역학은 전통적 측면 이동이 아니지만, 표적 환경에 미치는 영향은 그렇다.
ATLAS는 따라잡아 왔다. v4.9.0(2025년 4월)은 명령 및 제어를 전술로 추가했다(AML.TA0014). v5.1.0(2025년 11월)은 측면 이동을 추가했다(AML.TA0015). v5.4.0(2026년 2월) 기준 ATLAS는 SesameOp(AML.CS0042)과 OpenClaw(AML.CS0050, AML.CS0051) 사례 연구를 포함하여 에이전트형 위협을 잘 포괄하는 16개 전술 매트릭스다. 이 프레임워크는 ATLAS의 공백을 채우기 위해 존재하지 않는다; ATLAS는 매트릭스로 작동한다. 킬 체인 단계로 추론하는 방어자에게 동일한 내용이 제공될 필요가 있기 때문에 존재하며, 원래의 단계 차단 논리가 여전히 그 역할을 한다.
flowchart LR
S0["Stage 0<br/><b>Model Supply<br/>Chain Compromise</b><br/><i>NEW</i>"]:::new
S1["Stage 1<br/>Reconnaissance<br/><i>AI-augmented</i>"]:::mod
S2["Stage 2<br/>Weaponization<br/><i>AI-augmented</i>"]:::mod
S3["Stage 3<br/>Delivery<br/><i>AI-augmented</i>"]:::mod
S4["Stage 4<br/>Exploitation<br/><i>AI-augmented</i>"]:::mod
S5["Stage 5<br/>Installation<br/><i>AI-augmented</i>"]:::mod
S6["Stage 6<br/>Command & Control<br/><i>AI-augmented</i>"]:::mod
S7["Stage 7<br/>Actions on Objectives<br/><i>EXPANDED</i>"]:::expanded
S7A["7a. Data Exfiltration<br/><i>classical</i>"]:::expanded
S7B["7b. Model Extraction<br/><i>NEW</i>"]:::new
S7C["7c. Agentic Pivot<br/><i>NEW</i>"]:::new
S0 --> S1 --> S2 --> S3 --> S4 --> S5 --> S6 --> S7
S7 --> S7A
S7 --> S7B
S7 --> S7C
classDef new fill:#ffe6e6,stroke:#cc0000,stroke-width:2px,color:#000
classDef mod fill:#fff4d6,stroke:#cc8800,stroke-width:2px,color:#000
classDef expanded fill:#e6f0ff,stroke:#0044cc,stroke-width:2px,color:#000
빨간색은 신규, 노란색은 AI 하위 기법이 추가된 원본, 파란색은 원본이지만 구조적으로 확장된 항목입니다.
이 프레임워크는 원래의 7단계에 세 가지를 추가합니다. 새로운 사전 공격 단계인 Stage 0이 Reconnaissance 앞에 위치하여 AI 공급망에 대한 적대자 활동을 다룹니다. 각 원래 단계는 EKC ID가 부여된 자체적인 AI 특화 하위 기법을 갖게 되어, 탐지 규칙과 위협 보고서에서 이를 참조할 수 있습니다. Stage 7은 세 개의 동등한 하위 단계로 분할됩니다. 고전적 유출은 7a로 그대로 유지되고, 그 옆에 Model Extraction(7b)과 Agentic Pivot(7c)이 추가됩니다. 이들은 유출의 변형이 아닙니다. 자체적인 통제가 필요한 별개의 적대자 목표입니다.
아래의 각 단계 명세는 네 가지를 다룹니다. 적대자가 무엇을 하는지. AI 특화 하위 기법(탐지 규칙과 위협 보고서에서 인용할 수 있는 EKC ID 포함). 방어자가 대응할 수 있는 탐지 신호. 완화책.
적대자가 무엇을 하는지. 대상 조직이 나중에 자체 AI 시스템으로 가져올 모델, 데이터셋, 파인튜닝 어댑터, 또는 배포 채널을 손상시킵니다. 적대자는 대상의 네트워크를 전혀 건드리지 않습니다. 공급망에 침해를 심어 놓고 기다립니다.
하위 기법.
| ID | 하위 기법 | 설명 |
|---|---|---|
| EKC-0.1 | Training data poisoning | 향후 학습 실행이 수집하게 될 공개 데이터셋, 웹 스크래핑 코퍼스, 또는 라벨링 파이프라인에 조작된 예시를 주입합니다. |
| EKC-0.2 | Fine-tuning backdoor | 숨겨진 트리거-행동 쌍을 포함한 파인튜닝 어댑터, LoRA, 또는 전체 모델 체크포인트를 배포합니다. |
| EKC-0.3 | Pre-trained model trojan | 그럴듯한 이름으로 또는 실제 모델을 typosquatting하여 악성 모델을 공개 레지스트리(Hugging Face, Ollama Library, GitHub)에 게시합니다. |
| EKC-0.4 | Tokenizer or preprocessing manipulation | 은밀한 입력 채널을 추가하기 위해 업스트림 의존성의 토큰화, 정규화, 또는 특징 추출 코드를 변경합니다. |
| EKC-0.5 | Malicious MCP server or tool catalog entry | 다운스트림 에이전트가 호출하도록 설계된 도구 설명, MCP 서버 매니페스트, 또는 함수 정의를 게시하고, 도구 설명 자체의 프롬프트 인젝션을 통해 이를 악용합니다. |
탐지 신호.
주요 완화책.
적대자가 무엇을 하는지. 대상의 AI 시스템, 그 시스템이 무엇을 할 수 있는지, 가드레일이 무엇인지, 그리고 무엇에 연결되어 있는지를 찾아냅니다.
AI 증강 하위 기법.