S0 --> S1 --> S2 --> S3 --> S4 --> S5 --> S6 --> S7
S7 --> S7A
S7 --> S7B
S7 --> S7C

classDef new fill:#ffe6e6,stroke:#cc0000,stroke-width:2px,color:#000
classDef mod fill:#fff4d6,stroke:#cc8800,stroke-width:2px,color:#000
classDef expanded fill:#e6f0ff,stroke:#0044cc,stroke-width:2px,color:#000

Vermelho é novo, amarelo é original com sub-técnicas de IA, azul é original mas expandido estruturalmente.

O framework adiciona três coisas ao original de sete estágios. Um novo Estágio 0 de pré-ataque fica à frente da Reconhecimento para cobrir a atividade adversária contra a cadeia de suprimentos de IA. Cada estágio original ganha suas próprias sub-técnicas específicas de IA com identificadores EKC, para que regras de deteção e relatórios de ameaça possam referenciá-los. O Estágio 7 divide-se em três sub-estágios pares: a exfiltração clássica permanece como 7a, com Extração de Modelo (7b) e Pivô Agêntico (7c) adicionados ao lado. Estas não são variantes de exfiltração. São objetivos adversários distintos que precisam dos seus próprios controlos.

## Especificação estágio por estágio

Cada especificação de estágio abaixo cobre quatro coisas. O que o adversário está a fazer. As sub-técnicas específicas de IA (com IDs `EKC` que podem ser citados em regras de deteção e relatórios de ameaça). Os sinais de deteção sobre os quais um defensor pode atuar. As mitigações.

### Estágio 0. Comprometimento da Cadeia de Suprimentos de Modelo (novo)

**O que o adversário está a fazer.** Comprometer um modelo, conjunto de dados, adaptador de fine-tuning ou canal de distribuição que a organização alvo irá importar para os seus próprios sistemas de IA posteriormente. O adversário nunca toca na rede do alvo. Colocam o comprometimento na cadeia de suprimentos e esperam.

**Sub-técnicas.**

| ID | Sub-técnica | Descrição |
|----|---------------|-------------|
| EKC-0.1 | Envenenamento de dados de treinamento | Injetar exemplos manipulados num conjunto de dados público, corpus obtido por web scraping ou pipeline de rotulagem que futuras execuções de treinamento irão ingerir. |
| EKC-0.2 | Backdoor de fine-tuning | Distribuir um adaptador de fine-tuning, LoRA ou checkpoint de modelo completo com um par gatilho-comportamento oculto. |
| EKC-0.3 | Cavalo de Troia de modelo pré-treinado | Publicar um modelo malicioso num registo público (Hugging Face, Ollama Library, GitHub) sob um nome plausível ou por typosquatting de um nome real. |
| EKC-0.4 | Manipulação de tokenizador ou pré-processamento | Alterar o código de tokenização, normalização ou extração de características numa dependência upstream para adicionar um canal de entrada oculto. |
| EKC-0.5 | Servidor MCP malfeitoroso ou entrada de catálogo de ferramentas | Publicar uma descrição de ferramenta, manifesto de servidor MCP ou definição de função concebida para ser invocada por agentes downstream e explorá-los através de injeção de prompt na própria descrição da ferramenta. |

**Sinais de deteção.**
- Lacunas de proveniência em artefactos de modelo implantados (sem manifesto assinado, sem linhagem de dados de treinamento conhecida).
- Deriva de hash criptográfico entre um modelo puxado de um registo hoje e o mesmo identificador puxado numa data anterior.
- Descrições de ferramentas de servidores MCP de terceiros que contêm texto excecionalmente longo, semelhante a instruções, ou caracteres não imprimíveis.
- Distribuições anómalas de ativação de neurónios num modelo implantado quando testado com um conjunto de gatilhos curados.

**Mitigações primárias.**
- Manter uma lista de materiais do modelo (M-BOM) para cada modelo implantado, incluindo identidade do modelo base, hashes dos dados de fine-tuning e proveniência do adaptador.
- Assinar e verificar artefactos de modelo. Fixar hashes de commit específicos para modelos alojados em registos.
- Colocar em quarentena e isolar servidores MCP recém-adicionados. Revisar descrições de ferramentas como entrada não confiável.
- Realizar digitalização de rotina de gatilhos de backdoor em modelos implantados usando benchmarks publicados.

### Estágio 1. Reconhecimento (aumentado por IA)

**O que o adversário está a fazer.** Encontrar os sistemas de IA do alvo, o que conseguem fazer, quais são as suas barreiras de proteção e a que se conectam.

**Sub-técnicas aumentadas por IA.**

| ID | Sub-técnica | Descrição |
|----|---------------|-------------|
| EKC-1.1 | Impressão digital do modelo | Identificar o modelo base, família de fine-tuning e versão de um LLM implantado através de sondagem de padrão de resposta, análise de latência ou testes de resposta conhecida. |
| EKC-1.2 | Enumeração do prompt do sistema | Usar consultas de fuga, sondagens de role-play ou prompts de casos limite para recuperar o prompt do sistema ou as suas principais restrições. |
| EKC-1.3 | Enumeração de capacidades e ferramentas | Descobrir quais ferramentas, plugins, servidores MCP ou interfaces de chamada de função o agente tem acesso. |
| EKC-1.4 | Mapeamento de barreiras de proteção | Mapear o limite da política sondando padrões de recusa e encontrando tópicos, formatos ou formas de entrada que contornem classificadores. |
| EKC-1.5 | Descoberta da superfície de embeddings e recuperação | Identificar quais fontes de recuperação o sistema lê (conteúdos de armazenamento vetorial, corpora de documentos, domínios de busca na web). |

**Sinais de deteção.** Sessões de prompt de alta entropia de uma única fonte. Exploração sistemática dos limites de recusa. Consultas que correspondem de perto a corpora de jailbreak publicados. Pedidos repetidos para o sistema "repetir as instruções acima".

**Mitigações primárias.** Limitar a taxa e agrupar o tráfego de prompts por comportamento por identidade de utilizador. Redigir artefactos de resposta identificadores. Adicionar tokens canários ao prompt do sistema que disparam na exfiltração. Restringir a enumeração de ferramentas a chamadores autenticados e auditados.

### Estágio 2. Weaponização (aumentado por IA)

**O que o adversário está a fazer.** Construir uma carga que será entregue ao alvo.

**Sub-técnicas aumentadas por IA.**

| ID | Sub-técnica | Descrição |
|----|---------------|-------------|
| EKC-2.1 | Criação de prompt adversarial | Construir uma carga de injeção de prompt adaptada ao modelo alvo identificado, barreiras de proteção e conjunto de ferramentas do Estágio 1. |
| EKC-2.2 | Construção de carga multimodal | Incorporar instruções em imagens, áudio, PDFs ou documentos estruturados que um modelo multimodal irá processar. |
| EKC-2.3 | Pacote de ferramentas ou MCP malicioso | Construir uma ferramenta que pareça benigna no nome e descrição, mas que execute ações controladas pelo atacante quando invocada. |
| EKC-2.4 | Montagem de cadeia de jailbreak | Combinar técnicas de bypass conhecidas (priming de persona, truques de codificação, pivôs de linguagem de baixo recurso, role-play estruturado) numa única carga que derrote barreiras de proteção em camadas. |
| EKC-2.5 | Malware polimórfico gerado por IA | Usar um modelo para produzir variantes de malware semanticamente equivalentes mas lexicalmente diversas que evitem a deteção baseada em assinaturas. |

**Sinais de deteção.** Correspondências de padrões contra marcadores conhecidos de injeção indireta em conteúdo de entrada. Análise de imagem, PDF e áudio para instruções esteganográficas. Análise estática de pacotes MCP recém-registados.

### Estágio 3. Entrega (aumentado por IA)

**O que o adversário está a fazer.** Fazer chegar a carga ao sistema de IA ou ao seu operador.

**Sub-técnicas aumentadas por IA.**

| ID | Sub-técnica | Descrição |
|----|---------------|-------------|
| EKC-3.1 | Injeção indireta de prompt via conteúdo web | Um agente de navegação ou busca na web recupera uma página controlada pelo atacante com instruções. |
| EKC-3.2 | Envenenamento do corpus RAG | Um atacante submete conteúdo (via tickets de suporte, documentos públicos, contribuições de código ou ingestão de armazenamento vetorial) que será posteriormente recuperado como contexto para um LLM. |
| EKC-3.3 | Injeção via email ou mensagem | Instruções colocadas num email que um assistente de IA está configurado para ler ou resumir. |
| EKC-3.4 | Injeção via documento | Instruções colocadas em PDFs, folhas de cálculo ou documentos Office processados por um fluxo de trabalho de IA. |
| EKC-3.5 | Envenenamento de descrição de ferramenta | Instruções colocadas nas descrições ou esquemas de ferramentas MCP ou definições de função expostas ao agente. |
| EKC-3.6 | Injeção via imagem, áudio ou código QR | Instruções codificadas em modalidades não textuais que um agente multimodal irá processar. |

**Sinais de deteção.** Texto anómalo semelhante a instruções em fluxos de conteúdo não confiáveis. Alta entropia nos canais alfa de imagem e metadados para pipelines multimodais. Mudanças inesperadas de idioma dentro de documentos recuperados.

### Estágio 4. Exploração (aumentado por IA)

**O que o adversário está a fazer.** Acionar a carga. Em termos de IA: fazer com que o modelo siga as instruções do atacante ou viole a sua política.

**Sub-técnicas aumentadas por IA.**

| ID | Sub-técnica | Descrição |
|----|---------------|-------------|
| EKC-4.1 | Sucesso de injeção direta de prompt | O prompt voltado para o utilizador atinge a violação da política do atacante. |
| EKC-4.2 | Sucesso de injeção indireta de prompt | Instruções entregues via Estágio 3 são seguidas pelo modelo quando o conteúdo é processado. |
| EKC-4.3 | Invocação de ferramenta deputado confuso | O modelo invoca uma ferramenta privilegiada em nome do atacante, usando as próprias permissões do agente. |
| EKC-4.4 | Bypass de barreira de proteção ou classificador | Um classificador de segurança ou filtro baseado em regras é evadido, resultando na produção de conteúdo não permitido ou na realização de ações não permitidas. |
| EKC-4.5 | Poluição de memória ou contexto | Um armazenamento de memória persistente é atualizado com conteúdo controlado pelo atacante que influenciará sessões futuras. |

**Sinais de deteção.** Invocações de ferramenta cujos argumentos derivam de cadeias de entrada não confiáveis. Saídas que incluem tokens canários do prompt do sistema. Desvios de grande escala no estado da conversa causados por um único documento recuperado.

### Estágio 5. Instalação (aumentado por IA)

**O que o adversário está a fazer.** Configurar persistência para que o comprometimento sobreviva a uma única sessão.

**Sub-técnicas aumentadas por IA.**

| ID | Sub-técnica | Descrição |
|----|---------------|-------------|
| EKC-5.1 | Implante de memória persistente | Injetar conteúdo na memória de longo prazo, armazenamentos de preferências do utilizador ou contexto por conta que será recarregado em sessões futuras. |
| EKC-5.2 | Substituição do prompt do sistema | Modificar um GPT personalizado, configuração de assistente ou definição de agente para incorporar instruções do atacante no seu prompt do sistema. |
| EKC-5.3 | Instalação de conector malicioso | Fazer com que um utilizador ou administrador instale um servidor MCP, plugin ou extensão de navegador controlado pelo atacante, dando ao atacante uma posição persistente. |
| EKC-5.4 | Persistência no corpus RAG | Garantir que documentos envenenados permaneçam no armazenamento vetorial durante operações de reindexação. |
| EKC-5.5 | Contaminação de competência ou fluxo de trabalho armazenado | Modificar uma competência armazenada, automação ou fluxo de trabalho guardado que o agente carregará e executará num horário ou sob procura. |

**Sinais de deteção.** Novas entradas em armazenamentos de memória não atribuíveis a uma ação legítima de utilizador. Alterações não autorizadas em prompts do sistema, GPTs personalizados ou competências guardadas. Endpoints MCP recém-registados. Eventos de ingestão de armazenamento vetorial fora dos pipelines esperados.

### Estágio 6. Comando e Controlo (aumentado por IA)

**O que o adversário está a fazer.** Manter um canal interativo ou agendado que lhes permita dirigir atividades adicionais.

Os agentes de IA introduzem novos canais de C2. O ATLAS agora cobre alguns destes (por exemplo, AI Service API AML.T0096; o estudo de caso SesameOp AML.CS0042 documenta a API OpenAI Assistants a ser usada como infraestrutura C2). As sub-técnicas abaixo organizam os mesmos fenómenos como estágios da cadeia de eliminação.

**Sub-técnicas aumentadas por IA.**

| ID | Sub-técnica | Descrição |
|----|---------------|-------------|
| EKC-6.1 | Canal LLM como C2 | Codificar comandos em prompts de utilizador aparentemente benignos, documentos recuperados ou saídas de ferramentas que o agente lê num horário. |
| EKC-6.2 | C2 mediado por memória | Usar o armazenamento de memória de longo prazo do agente como um dead-drop. O atacante escreve instruções na memória através de um ponto de entrada; o agente age sobre elas através de outro. |
| EKC-6.3 | C2 mediado por RAG | Atualizar um documento envenenado no armazenamento vetorial para entregar novas instruções. O agente recupera-as na próxima consulta relevante. |
| EKC-6.4 | C2 via saída de ferramenta | Um servidor MCP comprometido devolve respostas carregadas de instruções em cada invocação, orientando o comportamento subsequente do agente. |
| EKC-6.5 | C2 esteganográfico entre sessões | Codificar cargas de comando em campos que o agente passa entre sessões (notas de utilizador, descrições de projeto, comentários de tickets) onde evadem a classificação de conteúdo porque cada fragmento parece inócuo por si só. |

**Sinais de deteção.** Análise de grafo de conversação mostrando instruções a chegar repetidamente da mesma fonte recuperada. Saídas de ferramentas externas contendo linguagem imperativa inconsistente com o propósito documentado da ferramenta. Análise de entropia em campos agente-a-agente.

### Estágio 7. Ações sobre Objetivos (expandido)

**O que o adversário está a fazer.** Alcançar a missão. O Estágio 7 divide-se em três sub-estágios pares porque os sistemas de IA tornam viáveis duas novas classes de objetivos que não existiam anteriormente como alvos de primeira classe.

#### Sub-estágio 7a. Exfiltração de Dados (clássica)

As ações sobre objetivos da cadeia de eliminação tradicional. Dados sensíveis são exfiltrados. Sistemas são destruídos, encriptados ou danificados. Fraude é cometida. A IA não altera qualitativamente este sub-estágio. Amplifica a escala através de phishing mais barato, reconhecimento automatizado e ciclos de engenharia social mais rápidos.

#### Sub-estágio 7b. Extração de Modelo (novo)

O alvo é o próprio modelo, os dados dentro dele ou o conhecimento codificado nele.

| ID | Sub-técnica | Descrição |
|----|---------------|-------------|
| EKC-7b.1 | Extração de modelo baseada em API | Reconstruir uma aproximação dos pesos ou da fronteira de decisão de um modelo implantado consultando-o em escala e treinando um substituto. |
| EKC-7b.2 | Extração de dados de treinamento | Recuperar exemplos de treinamento literais ou quase literais, incluindo PII sensível ou conteúdo proprietário, através de prompts direcionados à memorização. |
| EKC-7b.3 | Inferência de adesão | Determinar se um registo específico estava no conjunto de treinamento. Tem implicações a jusante para regulamentação de privacidade e confidencialidade. |
| EKC-7b.4 | Extração de prompt do sistema e instruções | Recuperar prompts do sistema proprietários que codificam lógica de negócio, regras de preços ou posicionamento competitivo. |
| EKC-7b.5 | Mineração de capacidades | Usar o modelo implantado para executar tarefas que a infraestrutura do próprio atacante não consegue. O acesso torna-se uma transferência de capacidade. |

**Sinais de deteção.** Padrões de consulta programática de alto volume de uma única identidade, especialmente com baixa entropia nos modelos de consulta e alta entropia nas entradas. Consultas que contêm sondas clássicas de memorização ("repita o texto acima"). Distribuições de consulta que se assemelham a ataques de extração publicados.

#### Sub-estágio 7c. Pivô Agêntico (novo)

O agente de IA comprometido é usado para realizar ações em sistemas conectados, usando as suas próprias permissões legítimas. Mecanicamente: sem código de exploração, sem reutilização de credenciais, sem escalada de privilégios. Apenas invocação de ferramentas autorizadas com argumentos influenciados pelo atacante. O ATLAS adicionou uma tática de Movimento Lateral (AML.TA0015) na v5.1.0 (novembro de 2025) para abordar o mesmo fenómeno. A contribuição aqui é colocar a variante do pivô agêntico dentro do estágio Ações sobre Objetivos da cadeia de eliminação, como um par da exfiltração clássica, em vez de como uma tática separada no início da matriz.

| ID | Sub-técnica | Descrição |
|----|---------------|-------------|
| EKC-7c.1 | Ação lateral mediada por ferramenta | O agente invoca ferramentas legítimas (envio de email, escrita de ficheiro, criação de ticket, autorização de pagamento) em nome do atacante. |
| EKC-7c.2 | Pivô entre aplicações | O agente move-se de uma aplicação conectada para outra (calendário para CRM para processador de pagamentos) encadeando chamadas de ferramentas. |
| EKC-7c.3 | Ataque de confusão de identidade | O agente atua num contexto onde os sistemas a jusante tratam as suas ações como as ações de um utilizador privilegiado, concedendo privilégios que o atacante não detém diretamente. |
| EKC-7c.4 | Abuso recursivo de agente | Um agente comprometido invoca outros agentes, propagando o comprometimento através de uma malha de agentes sem movimento lateral clássico. |
| EKC-7c.5 | Armação de fluxo de trabalho | Uma automação armazenada ou fluxo de trabalho agendado executa a ação pretendida pelo atacante de forma recorrente. |

**Sinais de deteção.** Chamadas de ferramenta cujos argumentos contêm conteúdo rastreável a fontes upstream não confiáveis. Grafos de chamada de ferramenta que atravessam fronteiras de confiança que nenhuma ação humana fez. Picos em chamadas entre aplicações por sessão. Comunicações de saída iniciadas por agentes para destinatários não presentes em nenhum histórico de conversas anterior.

## Relação com MITRE ATLAS, OWASP LLM Top 10, NIST AI RMF

O EKC é complementar aos frameworks de segurança de IA existentes. Não substitui nenhum deles.

O ATLAS é a comparação mais próxima. O ATLAS é uma matriz de táticas adversárias modelada no ATT&CK, estruturada como uma taxonomia paralela para sistemas de IA. A partir da v5.4.0 (fevereiro de 2026) tem 16 táticas, 84 técnicas, 56 sub-técnicas, 32 mitigações e 42 estudos de caso. A evolução relevante para este framework: a v4.9.0 (abril de 2025) adicionou Comando e Controlo (AML.TA0014), e a v5.1.0 (novembro de 2025) adicionou Movimento Lateral (AML.TA0015). O ATLAS está organizado como uma matriz. O EKC fornece a visão sequenciada da cadeia de eliminação da mesma superfície de ameaça. A maioria das sub-técnicas do EKC mapeia para uma ou mais técnicas do ATLAS; consulte [`mappings/mitre-atlas-mapping.md`](https://github.com/gouravnagar-infosec/ai-kill-chain/blob/HEAD/mappings/mitre-atlas-mapping.md). Use ambos: EKC para defensores que raciocinam em estágios da cadeia de eliminação, ATLAS para red teamers e analistas de inteligência de ameaças que raciocinam em matrizes de táticas-técnicas.

O OWASP Top 10 para Aplicações LLM (2025), publicado em novembro de 2024 pelo Projeto de Segurança GenAI da OWASP, é uma lista de priorização de riscos para desenvolvedores de aplicações. As suas dez categorias são: Injeção de Prompt (LLM01), Divulgação de Informação Sensível (LLM02), Cadeia de Suprimentos (LLM03), Envenenamento de Dados e Modelo (LLM04), Tratamento Incorreto de Saída (LLM05), Agência Excessiva (LLM06), Fuga de Prompt do Sistema (LLM07), Fraquezas de Vetor e Embedding (LLM08), Desinformação (LLM09) e Consumo Ilimitado (LLM10). A lista está organizada por categoria de risco. Não especifica onde, num ataque, cada risco é explorado. O ficheiro de mapeamento do EKC (`mappings/owasp-llm-mapping.md`) fornece essa visão: cada categoria OWASP mapeada para os estágios EKC onde a vulnerabilidade se torna operacional.

O NIST AI Risk Management Framework (AI RMF 1.0) opera a um nível diferente. Fornece quatro funções de governança (Governar, Mapear, Medir, Gerir) para o risco de IA. O Perfil Generativo de IA associado (NIST AI 600-1, julho de 2024) cataloga doze categorias de risco específicas para IA generativa com mais de 200 ações sugeridas. Estes são frameworks de gestão de risco programáticos, não modelos adversários. O EKC fornece o detalhe do lado adversário de que as funções de Mapear e Medir do NIST RMF necessitam para serem operacionalmente completas.

O ATT&CK continua a ser o framework canónico de táticas adversárias para operações cibernéticas não IA. Os Estágios 1 a 7 do EKC são totalmente compatíveis com as técnicas ATT&CK utilizadas nesses estágios. O EKC adiciona sub-técnicas específicas de IA em cima dessa compatibilidade, sem tentar substituir a cobertura do ATT&CK do comportamento adversário clássico.

## Estudos de caso trabalhados

[`examples/case-studies.md`](https://github.com/gouravnagar-infosec/ai-kill-chain/blob/HEAD/examples/case-studies.md) percorre quatro cenários através da cadeia de eliminação do início ao fim:

1. Injeção indireta de prompt de um agente de navegação. Uma página web pública contém instruções que sequestram o comportamento de uso de ferramentas do agente para exfiltrar o conteúdo da aba aberta do utilizador.
2. Comprometimento de servidor MCP. Um servidor MCP de terceiros publicado num registo público contém um backdoor nas suas descrições de ferramentas que é acionado quando um agente downstream consulta um tópico específico.
3. Envenenamento de corpus RAG de um assistente empresarial. Um atacante submete um ticket de suporte cujo conteúdo é ingerido no corpus RAG da empresa e posteriormente recuperado por um assistente interno, fazendo com que divulgue configuração sensível.
4. Extração de modelo baseada em API contra um modelo de domínio proprietário. Um concorrente usa acesso autenticado à API para consultar um modelo de domínio fine-tuned em escala, treinando um substituto que replica grande parte do seu comportamento.

Cada estudo de caso mapeia o comportamento adversário observado para IDs específicos de sub-técnicas EKC e identifica os sinais de deteção que teriam detetado a atividade mais cedo.

## Orientação de deteção e mitigação

A lógica de disrupção da cadeia de eliminação mantém-se. Quebre um estágio, quebre a cadeia. As equipas defensoras devem distribuir controlos pelos estágios em vez de concentrá-los num único ponto.

Controlos de maior alavancagem por estágio:- **Estágio 0.** Lista de materiais do modelo. Artefatos assinados. Fixação de registro. Sondagem periódica de backdoors.
- **Estágio 1.** Análise comportamental de tráfego de prompts. Tokens canários em prompts do sistema. Limites de taxa em consultas do tipo sonda.
- **Estágios 2 e 3.** Detecção de injeção indireta em todo fluxo de conteúdo recebido não confiável: web, e-mail, corpus RAG, descrições de ferramentas MCP, entradas multimodais.
- **Estágio 4.** Rastreamento de linhagem de argumentos de chamadas de ferramentas. Qualquer invocação de ferramenta cujos argumentos derivam de texto não confiável é tratada como de alto risco por padrão.
- **Estágio 5.** Trilhas de auditoria de escrita em memória. Controle de alterações em prompts do sistema e habilidades armazenadas. Atestação em endpoints MCP.
- **Estágio 6.** Análise de grafo de conversação para identificar fontes recorrentes de instrução. Análise de entropia em campos agente-a-agente.
- **Estágio 7a.** DLP clássico, monitoramento, segmentação.
- **Estágio 7b.** Análise de padrões de consulta. Sondas de memorização em suítes de equipe vermelha. Marca d'água em saídas do modelo.
- **Estágio 7c.** Limites de raio de explosão por ferramenta. Humano no circuito para ferramentas de alto impacto. Revisão de propagação de identidade: o sistema downstream sabe que está agindo em nome de um agente, e não de um usuário?

## Declaração de originalidade

O que esta framework contribui que trabalhos anteriores não:

1. Uma integração sequenciada por kill-chain de ameaças da era da IA com o modelo Lockheed Martin. O fluxo temporal e a lógica de interrupção de estágios que as equipes de defesa têm construído operações há mais de uma década são preservados. MITRE ATLAS, OWASP LLM Top 10 e NIST AI RMF são todos organizados como matrizes ou listas de prioridade de risco; nenhum é uma kill chain.
2. Estágio 0 (Comprometimento da Cadeia de Suprimentos do Modelo) como um único estágio pré-ataque. Envenenamento de dados de treinamento, backdoors de fine-tuning, distribuição maliciosa de modelos e adaptadores, e comprometimento de catálogo de ferramentas são consolidados aqui em um estágio sequencial que precede os sete canônicos. O ATLAS distribui técnicas equivalentes entre as táticas de Resource Development, Initial Access e ML Model Access. O enquadramento em estágio único é a contribuição.
3. Estágio 7 dividido em três subestágios pares. Extração de Modelo (7b) e Pivô Agêntico (7c) são nomeados como objetivos de adversário de primeira classe ao lado da exfiltração clássica de dados (7a), dentro do estágio Actions on Objectives. Isso suporta o design de playbooks de SOC que já são executados contra a espinha dorsal de sete estágios.
4. O esquema de ID de técnica secundária `EKC-x.y`. Os IDs são projetados para serem referenciados em regras de detecção, relatórios de ameaça e documentação de SOC, com referências cruzadas de um-para-muitos para técnicas do MITRE ATLAS e categorias do OWASP LLM Top 10.
5. Um enquadramento voltado para o defensor em toda a extensão. A framework é otimizada para engenharia de detecção e uso em SOC, onde o estágio da kill chain é a unidade de análise, em vez de para taxonomia de equipe vermelha ou casos de uso de categorização de risco que funcionam melhor como matrizes.

A framework baseia-se no Lockheed Martin Cyber Kill Chain (Hutchins, Cloppert e Amin, 2011) e no tratamento operacional em Nagar e Kumar (2025). A estrutura original de sete estágios permanece intacta. ATLAS e OWASP LLM Top 10 permanecem intactos. Esta é a visão de kill chain da mesma superfície de ameaça, para o público que já trabalha nesses termos.

## Como citar

Citação recomendada (APA):

> Nagar, G. (2026). *Extended Cyber Kill Chain for AI-Era Threats* (Versão 1.0) [Framework]. Zenodo. https://doi.org/10.5281/zenodo.20349357

BibTeX:```bibtex
@misc{nagar2026extendedkillchain,
  author       = {Nagar, Gourav},
  title        = {Extended Cyber Kill Chain for {AI}-Era Threats},
  year         = {2026},
  month        = {5},
  version      = {1.0},
  publisher    = {Zenodo},
  doi          = {10.5281/zenodo.20349357},
  url          = {https://doi.org/10.5281/zenodo.20349357},
  howpublished = {\url{https://doi.org/10.5281/zenodo.20349357}},
  note         = {Extends the kill-chain treatment in Nagar and Kumar (2025), Cyber Security Kill Chain: Tactics and Strategies, Packt Publishing.}
}