gouravnagar-infosec/ai-kill-chainUma extensão voltada ao defensor da Cyber Kill Chain da Lockheed Martin para ameaças de LLM e IA agentiva. Adiciona um estágio de cadeia de suprimentos de modelo e divide ações sobre objetivos em exfiltração, extração de modelo e pivô agentivo.
Uma atualização da Cyber Kill Chain da Lockheed Martin para defensores que trabalham contra ataques de LLM e agentes de IA. Adiciona um estágio pré-ataque para comprometimento da cadeia de suprimentos do modelo. Adiciona sub-técnicas específicas de IA a cada um dos sete estágios originais. Divide o estágio de Ações sobre os Objetivos em três sub-estágios pares: exfiltração clássica de dados, extração de modelo e pivô de agente.
Autor: Gourav Nagar Versão: 1.0 Data: 19 de maio de 2026 Repositório: https://github.com/gouravnagar-infosec/ai-kill-chain
Citar como: Nagar, G. (2026). Extended Cyber Kill Chain for AI-Era Threats (Versão 1.0). Zenodo. https://doi.org/10.5281/zenodo.20349357
A Cyber Kill Chain da Lockheed Martin tem sido o modelo de trabalho para como os defensores descrevem uma campanha de intrusão desde 2011. Sete estágios, desde o reconhecimento até as ações sobre os objetivos. Superfície de ataque de rede e endpoint. Atacantes humanos operando ferramentas contra alvos determinísticos. Seu valor para os defensores é a lógica de interrupção: bloqueie qualquer estágio e o restante da cadeia não pode ser concluída.
LLMs e agentes de IA não se encaixam nessa imagem. Os atacantes agora visam pesos de modelos, dados de treinamento, prompts de sistema, descrições de ferramentas. Um documento ou uma página web pode conter instruções que um agente de IA executará como se um usuário as tivesse digitado. Agentes com acesso a ferramentas podem fazer pivô através de relações de confiança legítimas sem nunca carregar shellcode.
Tanto o MITRE ATLAS quanto o OWASP LLM Top 10 catalogam essas ameaças. ATLAS v5.4.0 (fevereiro de 2026) tem 16 táticas, 84 técnicas e 42 estudos de caso, com cobertura que atinge injeção indireta de prompt e comando e controle de agentes. O LLM Top 10 de 2025 da OWASP prioriza dez categorias de risco para construtores de aplicações. Ambos são organizados como matrizes ou listas de risco. Nenhum é uma kill chain.
Este documento é a visão em formato de kill chain do mesmo conteúdo. É escrito para analistas de SOC e engenheiros de detecção que já pensam em estágios de kill chain.
Ele faz três coisas além dos sete canônicos. Adiciona um novo estágio pré-ataque (Estágio 0) para atividade adversária contra a própria cadeia de suprimentos de IA. Adiciona sub-técnicas específicas de IA dentro de cada um dos sete estágios originais, com IDs EKC para que regras de detecção e playbooks de SOC possam referenciá-las. E divide o Estágio 7 (Ações sobre os Objetivos) em três sub-estágios pares: exfiltração clássica de dados, extração de modelo e pivô de agente.
Isso não é uma substituição para ATLAS ou OWASP. É a visão em formato de kill chain da mesma superfície de ameaça.
A Cyber Kill Chain original, do artigo de 2011 da Lockheed Martin por Hutchins, Cloppert e Amin, divide uma intrusão em sete estágios.
| Estágio | Nome | O que o adversário está fazendo |
|---|---|---|
| 1 | Reconhecimento | Escolhendo alvos |
| 2 | Weaponização | Emparelhando um exploit com um payload |
| 3 | Entrega | Levando a arma ao alvo |
| 4 | Exploração | Acionando-a |
| 5 | Instalação | Implantando persistência |
| 6 | Comando e Controle | Estabelecendo um canal de controle |
| 7 | Ações sobre os Objetivos | Alcançando a missão |
O modelo é a base de mais de uma década de prática de engenharia de detecção, estrutura de relatórios de inteligência de ameaças e design de playbooks de SOC. Um tratamento em formato de livro do framework e seu uso operacional é Nagar e Kumar (2025), Cyber Security Kill Chain: Tactics and Strategies (Packt). Este framework estende esse livro.
As suposições originais quebram em quatro lugares para ataques da era da IA.
Os ataques agora têm um estágio pré-rede. Um conjunto de dados envenenado ou um modelo pré-treinado comprometido em um registro público pode comprometer uma organização alvo antes que qualquer pacote atravesse um firewall. A kill chain canônica começa no Reconhecimento e não tem lugar para colocar isso.
Prompts misturam código e dados. LLMs não conseguem distinguir instruções de conteúdo de forma confiável. Texto oculto em uma página web, um e-mail ou uma descrição de ferramenta pode se tornar instruções que o modelo segue. O que a kill chain trata como estágios separados de Entrega e Exploração colapsa em um único primitivo no caso da IA: injeção indireta de prompt.
Os próprios modelos são alvos agora. Os adversários querem os pesos, os dados de fine-tuning, os prompts de sistema, as capacidades codificadas em modelos implantados. "Exfiltração de dados" subestima isso. Extração de modelo, extração de dados de treinamento, mineração de capacidades — cada uma tem mecânicas diferentes e precisa de defesas diferentes.
E os agentes fazem pivô através de suas próprias permissões. Um agente de IA comprometido com acesso a ferramentas (MCP, chamada de função, controle de navegador) não precisa escalar privilégios ou carregar shellcode. Ele invoca as ferramentas que já está autorizado a usar. A mecânica não é movimento lateral clássico, mas o efeito em um ambiente alvo é.
O ATLAS tem acompanhado. v4.9.0 (abril de 2025) adicionou Comando e Controle como uma tática (AML.TA0014). v5.1.0 (novembro de 2025) adicionou Movimento Lateral (AML.TA0015). A partir de v5.4.0 (fevereiro de 2026), ATLAS é uma matriz de 16 táticas com boa cobertura de ameaças de agentes, incluindo estudos de caso para SesameOp (AML.CS0042) e OpenClaw (AML.CS0050, AML.CS0051). Este framework não existe para preencher lacunas no ATLAS; ATLAS funciona como uma matriz. Ele existe porque o mesmo conteúdo precisa estar disponível para defensores que raciocinam em estágios de kill chain, com a lógica de interrupção do estágio original ainda fazendo o trabalho.
