gouravnagar-infosec/ai-kill-chainРасширение цепочки кибератак Lockheed Martin для защитника, нацеленное на угрозы от LLM и агентных ИИ. Добавляет этап цепочки поставок моделей и разделяет действия по достижению целей на эксфильтрацию, извлечение моделей и агентный pivot.
Обновление цепочки киберубийства Lockheed Martin для защитников, работающих против атак LLM и агентного ИИ. Добавляет предварительную стадию компрометации цепочки поставок модели. Добавляет специфичные для ИИ подтехники к каждой из исходных семи стадий. Разделяет стадию «Действия по целям» на три равноправные подстадии: классический вывод данных, извлечение модели и агентный разворот.
Автор: Gourav Nagar Версия: 1.0 Дата: 19 мая 2026 г. Репозиторий: https://github.com/gouravnagar-infosec/ai-kill-chain
Цитировать как: Nagar, G. (2026). Extended Cyber Kill Chain for AI-Era Threats (Version 1.0). Zenodo. https://doi.org/10.5281/zenodo.20349357
Цепочка киберубийства Lockheed Martin была рабочей моделью для описания защитниками кампании вторжения с 2011 года. Семь стадий от разведки до действий по целям. Поверхность атаки на сеть и конечные точки. Люди-атакующие, применяющие инструменты против детерминированных целей. Её ценность для защитников заключается в логике нарушения: заблокируйте любую одну стадию, и остальная часть цепочки не сможет завершиться.
LLM и ИИ-агенты не вписываются в эту картину. Атакующие теперь нацелены на веса моделей, обучающие данные, системные промпты, описания инструментов. Документ или веб-страница могут нести инструкции, которые ИИ-агент выполнит так, как если бы их ввёл пользователь. Агенты с доступом к инструментам могут совершать разворот через легитимные доверительные отношения, вообще не загружая шелл-код.
MITRE ATLAS и OWASP LLM Top 10 оба каталогизируют эти угрозы. ATLAS v5.4.0 (февраль 2026 г.) содержит 16 тактик, 84 техники и 42 примера из практики, с охватом, доходящим до косвенной инъекции промптов и агентного командования и управления. OWASP LLM Top 10 за 2025 год выделяет десять категорий риска для разработчиков приложений. Оба организованы как матрицы или списки рисков. Ни один из них не является цепочкой убийства.
Этот документ представляет собой представление того же содержания в форме цепочки убийства. Он написан для аналитиков SOC и инженеров по обнаружению, которые уже мыслят стадиями цепочки убийства.
Он делает три вещи поверх канонических семи. Он добавляет новую предварительную стадию (Стадия 0) для активности противника против самой цепочки поставок ИИ. Он добавляет специфичные для ИИ подтехники внутри каждой из исходных семи стадий, с идентификаторами EKC, чтобы правила обнаружения и плейбуки SOC могли на них ссылаться. И он разделяет Стадию 7 (Действия по целям) на три равноправные подстадии: классический вывод данных, извлечение модели и агентный разворот.
Это не замена ATLAS или OWASP. Это представление той же поверхности угроз в форме цепочки убийства.
Оригинальная цепочка киберубийства из статьи Hutchins, Cloppert и Amin 2011 года в Lockheed Martin разбивает вторжение на семь стадий.
| Стадия | Название | Что делает противник |
|---|---|---|
| 1 | Разведка | Выбор целей |
| 2 | Вооружение | Сопряжение эксплойта с полезной нагрузкой |
| 3 | Доставка | Доставка оружия к цели |
| 4 | Эксплуатация | Его запуск |
| 5 | Установка | Внедрение персистентности |
| 6 | Командование и управление | Установление канала управления |
| 7 | Действия по целям | Достижение миссии |
Модель лежит в основе более десяти лет практики инженерии обнаружения, структуры отчётности по киберразведке и проектирования плейбуков SOC. Книжное изложение фреймворка и его оперативного применения — Nagar and Kumar (2025), Cyber Security Kill Chain: Tactics and Strategies (Packt). Этот фреймворк расширяет ту книгу.
Исходные допущения ломаются в четырёх местах для атак эпохи ИИ.
У атак теперь есть предсетевая стадия. Отравленный набор данных или скомпрометированная предобученная модель, размещённая в публичном реестре, может скомпрометировать организацию-цель до того, как хоть один пакет пересечёт межсетевой экран. Каноническая цепочка убийства начинается с Разведки и не имеет места, куда это поместить.
Промпты смешивают код и данные. LLM не могут надёжно отличить инструкции от содержимого. Скрытый текст на веб-странице, в электронном письме или в описании инструмента может стать инструкциями, которым модель следует. То, что цепочка убийства рассматривает как отдельные стадии Доставки и Эксплуатации, в случае ИИ схлопывается в единый примитив: косвенную инъекцию промптов.
Сами модели теперь являются целями. Противники хотят веса, данные тонкой настройки, системные промпты, возможности, закодированные в развёрнутых моделях. «Вывод данных» преуменьшает это. Извлечение модели, извлечение обучающих данных, майнинг возможностей — каждое имеет свою механику и требует своих средств защиты.
А агенты совершают разворот через свои собственные разрешения. Скомпрометированный ИИ-агент с доступом к инструментам (MCP, вызов функций, управление браузером) не нуждается в повышении привилегий или загрузке шелл-кода. Он вызывает инструменты, которые ему и так разрешено использовать. Механика — не классическое боковое перемещение, но эффект на среду цели — да.
ATLAS догонял. v4.9.0 (апрель 2025 г.) добавил Командование и управление как тактику (AML.TA0014). v5.1.0 (ноябрь 2025 г.) добавил Боковое перемещение (AML.TA0015). По состоянию на v5.4.0 (февраль 2026 г.) ATLAS — это матрица из 16 тактик с хорошим охватом агентных угроз, включая примеры из практики для SesameOp (AML.CS0042) и OpenClaw (AML.CS0050, AML.CS0051). Этот фреймворк существует не для заполнения пробелов в ATLAS; ATLAS работает как матрица. Он существует потому, что то же содержание должно быть доступно защитникам, которые рассуждают стадиями цепочки убийства, при этом исходная логика нарушения стадий по-прежнему выполняет свою работу.
