gouravnagar-infosec/ai-kill-chainUma extensão voltada ao defensor da Cyber Kill Chain da Lockheed Martin para ameaças de LLM e IA agentiva. Adiciona um estágio de cadeia de suprimentos de modelo e divide ações sobre objetivos em exfiltração, extração de modelo e pivô agentivo.
Uma atualização da Lockheed Martin Cyber Kill Chain para defensores que atuam contra ataques de LLM e IA agêntica. Adiciona um estágio de pré-ataque para comprometimento da cadeia de suprimentos de modelos. Adiciona sub-técnicas específicas de IA a cada um dos sete estágios originais. Divide o estágio Actions on Objectives em três sub-estágios pares: exfiltração clássica de dados, extração de modelo e pivô agêntico.
Autor: Gourav Nagar Versão: 1.0 Data: 19 de maio de 2026 Repositório: https://github.com/gouravnagar-infosec/ai-kill-chain
Cite como: Nagar, G. (2026). Extended Cyber Kill Chain for AI-Era Threats (Versão 1.0). Zenodo. https://doi.org/10.5281/zenodo.20349357
A Lockheed Martin Cyber Kill Chain tem sido o modelo de trabalho para como os defensores descrevem uma campanha de intrusão desde 2011. Sete estágios, do reconhecimento às ações sobre objetivos. Superfície de ataque de rede e endpoint. Atacantes humanos operando ferramentas contra alvos determinísticos. Seu valor para os defensores está na lógica de disrupção: bloqueie qualquer um dos estágios e o restante da cadeia não se completa.
LLMs e agentes de IA não se encaixam nesse quadro. Os atacantes agora visam pesos de modelos, dados de treinamento, prompts de sistema, descrições de ferramentas. Um documento ou uma página web pode carregar instruções que um agente de IA executará como se um usuário as tivesse digitado. Agentes com acesso a ferramentas podem pivotar por relacionamentos de confiança legítimos sem nunca carregar shellcode.
O MITRE ATLAS e o OWASP LLM Top 10 catalogam essas ameaças. O ATLAS v5.4.0 (fevereiro de 2026) tem 16 táticas, 84 técnicas e 42 estudos de caso, com cobertura que alcança injeção indireta de prompt e comando e controle agêntico. O OWASP LLM Top 10 de 2025 prioriza dez categorias de risco para construtores de aplicações. Ambos são organizados como matrizes ou listas de riscos. Nenhum deles é uma kill chain.
Este documento é a visão em formato de kill chain do mesmo conteúdo. Ele foi escrito para analistas de SOC e engenheiros de detecção que já pensam em estágios de kill chain.
Ele faz três coisas além dos sete canônicos. Adiciona um novo estágio de pré-ataque (Estágio 0) para atividade do adversário contra a própria cadeia de suprimentos de IA. Adiciona sub-técnicas específicas de IA dentro de cada um dos sete estágios originais, com IDs EKC para que regras de detecção e playbooks de SOC possam referenciá-las. E divide o Estágio 7 (Ações sobre Objetivos) em três sub-estágios pares: exfiltração clássica de dados, extração de modelo e pivô agêntico.
Este não é um substituto para o ATLAS ou o OWASP. É a visão em formato de kill chain da mesma superfície de ameaça.
A Cyber Kill Chain original, do artigo de 2011 de Hutchins, Cloppert e Amin da Lockheed Martin, divide uma intrusão em sete estágios.
| Estágio | Nome | O que o adversário está fazendo |
|---|---|---|
| 1 | Reconhecimento | Escolhendo alvos |
| 2 | Weaponização | Combinando um exploit com um payload |
| 3 | Entrega | Levando a arma até o alvo |
| 4 | Exploração | Disparando-a |
| 5 | Instalação | Implantando persistência |
| 6 | Comando e Controle | Estabelecendo um canal de controle |
| 7 | Ações sobre Objetivos | Alcançando a missão |
O modelo é a base de mais de uma década de prática de engenharia de detecção, estrutura de relatórios de threat intel e design de playbooks de SOC. Um tratamento em formato de livro do framework e seu uso operacional é Nagar e Kumar (2025), Cyber Security Kill Chain: Tactics and Strategies (Packt). Este framework estende esse livro.
As premissas originais se quebram em quatro pontos para ataques da era da IA.
Os ataques agora têm um estágio pré-rede. Um conjunto de dados envenenado ou um modelo pré-treinado comprometido hospedado em um registro público pode comprometer uma organização-alvo antes que qualquer pacote atravesse um firewall. A kill chain canônica começa no Reconhecimento e não tem onde colocar isso.
Prompts misturam código e dados. LLMs não conseguem distinguir de forma confiável instruções de conteúdo. Texto oculto em uma página web, um e-mail ou uma descrição de ferramenta pode se tornar instruções que o modelo segue. O que a kill chain trata como estágios separados de Entrega e Exploração colapsa em uma única primitiva no caso da IA: injeção indireta de prompt.
Os próprios modelos agora são alvos. Os adversários querem os pesos, os dados de fine-tuning, os prompts de sistema, as capacidades codificadas em modelos implantados. "Exfiltração de dados" subestima isso. Extração de modelo, extração de dados de treinamento e mineração de capacidades têm mecânicas diferentes e precisam de defesas diferentes.
E os agentes pivotam por meio de suas próprias permissões. Um agente de IA comprometido com acesso a ferramentas (MCP, function calling, controle de navegador) não precisa escalar privilégios ou carregar shellcode. Ele invoca as ferramentas que já tem permissão de usar. A mecânica não é movimento lateral clássico, mas o efeito sobre um ambiente-alvo é.
O ATLAS vem se atualizando. A v4.9.0 (abril de 2025) adicionou Comando e Controle como tática (AML.TA0014). A v5.1.0 (novembro de 2025) adicionou Movimento Lateral (AML.TA0015). A partir da v5.4.0 (fevereiro de 2026), o ATLAS é uma matriz de 16 táticas com boa cobertura de ameaças agênticas, incluindo estudos de caso para SesameOp (AML.CS0042) e OpenClaw (AML.CS0050, AML.CS0051). Este framework não existe para preencher lacunas no ATLAS; o ATLAS funciona como uma matriz. Ele existe porque o mesmo conteúdo precisa estar disponível para defensores que raciocinam em estágios de kill chain, com a lógica original de disrupção de estágios ainda fazendo o trabalho.
