面向 AI 时代威胁的扩展网络杀伤链

对 Lockheed Martin 网络杀伤链的更新，面向防御 LLM 和智能体 AI 攻击的防御者。新增一个针对模型供应链攻陷的攻击前阶段。为原有七个阶段中的每一个添加 AI 特定子技术。将“目标行动”阶段拆分为三个同级子阶段：传统数据外泄、模型提取和智能体枢转。

作者：Gourav Nagar 版本：1.0 日期：2026 年 5 月 19 日 仓库：https://github.com/gouravnagar-infosec/ai-kill-chain

引用格式：Nagar, G. (2026). Extended Cyber Kill Chain for AI-Era Threats (Version 1.0). Zenodo. https://doi.org/10.5281/zenodo.20349357

目录

1. 摘要
2. 背景
3. 为什么七阶段模型不够用
4. 框架概览
5. 逐阶段规范
   • 阶段 0. 模型供应链攻陷（新增）
   • 阶段 1. 侦察（AI 增强）
   • 阶段 2. 武器化（AI 增强）
   • 阶段 3. 投递（AI 增强）
   • 阶段 4. 利用（AI 增强）
   • 阶段 5. 安装（AI 增强）
   • 阶段 6. 命令与控制（AI 增强）
   • 阶段 7. 目标行动（扩展）
6. 与 MITRE ATLAS、OWASP LLM Top 10、NIST AI RMF 的关系
7. 实战案例研究
8. 检测与缓解指南
9. 原创性声明
10. 如何引用
11. 参考文献
12. 许可证

摘要

自 2011 年以来，Lockheed Martin 网络杀伤链一直是防御者描述入侵行动的工作模型。从侦察到目标行动共七个阶段。网络和端点攻击面。人类攻击者针对确定性目标操作工具。它对防御者的价值在于阻断逻辑：阻断任何一个阶段，链条的其余部分就无法完成。

LLM 和 AI 智能体并不符合这一图景。攻击者现在瞄准模型权重、训练数据、系统提示词、工具描述。一份文档或一个网页可以携带指令，AI 智能体会像用户输入一样执行它们。拥有工具访问权限的智能体可以通过合法的信任关系进行枢转，而无需加载任何 shellcode。

MITRE ATLAS 和 OWASP LLM Top 10 都对这类威胁进行了编目。ATLAS v5.4.0（2026 年 2 月）包含 16 个战术、84 项技术和 42 个案例研究，覆盖范围延伸至间接提示注入和智能体命令与控制。OWASP 的 2025 LLM Top 10 为应用构建者优先列出了十个风险类别。两者都以矩阵或风险列表的形式组织。两者都不是杀伤链。

本文档是同一内容的杀伤链视角。它面向已经以杀伤链阶段思考的 SOC 分析师和检测工程师。

它在经典七阶段之上做了三件事。它新增了一个针对 AI 供应链本身攻击者活动的攻击前阶段（阶段 0）。它在原有七个阶段中的每一个内部添加了 AI 特定子技术，并配有 EKC ID，以便检测规则和 SOC 剧本可以引用它们。它将阶段 7（目标行动）拆分为三个同级子阶段：传统数据外泄、模型提取和智能体枢转。

这不是对 ATLAS 或 OWASP 的替代。它是同一威胁面的杀伤链视角。

背景

最初的网络杀伤链源自 Hutchins、Cloppert 和 Amin 于 2011 年发表的 Lockheed Martin 论文，将入侵分解为七个阶段。

阶段	名称	攻击者在做什么
1	侦察	挑选目标
2	武器化	将漏洞利用与载荷配对
3	投递	将武器送达目标
4	利用	触发它
5	安装	植入持久化
6	命令与控制	建立控制通道
7	目标行动	完成任务

该模型是十多年来检测工程实践、威胁情报报告结构和 SOC 剧本设计的基础。对该框架及其操作使用的完整论述见 Nagar 和 Kumar (2025)，Cyber Security Kill Chain: Tactics and Strategies（Packt）。本框架扩展了该书。

为什么七阶段模型不够用

对于 AI 时代的攻击，原有假设在四个方面失效。

攻击现在有了网络前阶段。一个被投毒的数据集或一个位于公共注册表中的被攻陷预训练模型，可以在任何数据包穿过防火墙之前就攻陷目标组织。经典杀伤链从侦察开始，无处安放这一阶段。

提示词混合了代码和数据。LLM 无法可靠地区分指令和内容。网页、电子邮件或工具描述中的隐藏文本可以成为模型遵循的指令。杀伤链视为独立的投递和利用阶段，在 AI 场景中坍缩为单一原语：间接提示注入。

模型本身现在也是目标。攻击者想要权重、微调数据、系统提示词、已部署模型中编码的能力。“数据外泄”低估了这一点。模型提取、训练数据提取、能力挖掘各有不同的机制，需要不同的防御。

而智能体会通过自身权限进行枢转。一个拥有工具访问权限（MCP、函数调用、浏览器控制）的被攻陷 AI 智能体不需要提权或加载 shellcode。它调用自己已被允许使用的工具。其机制不是经典的横向移动，但对目标环境的影响是。

ATLAS 一直在追赶。v4.9.0（2025 年 4 月）新增命令与控制作为战术（AML.TA0014）。v5.1.0（2025 年 11 月）新增横向移动（AML.TA0015）。截至 v5.4.0（2026 年 2 月），ATLAS 是一个 16 战术矩阵，对智能体威胁有良好覆盖，包括 SesameOp（AML.CS0042）和 OpenClaw（AML.CS0050、AML.CS0051）的案例研究。本框架的存在不是为了填补 ATLAS 的空白；ATLAS 作为矩阵是有效的。它的存在是因为同一内容需要提供给以杀伤链阶段推理的防御者，同时原有的阶段阻断逻辑仍然发挥作用。

框架概览

flowchart LR
    S0["Stage 0<br/><b>Model Supply<br/>Chain Compromise</b><br/><i>NEW</i>"]:::new
    S1["Stage 1<br/>Reconnaissance<br/><i>AI-augmented</i>"]:::mod
    S2["Stage 2<br/>Weaponization<br/><i>AI-augmented</i>"]:::mod
    S3["Stage 3<br/>Delivery<br/><i>AI-augmented</i>"]:::mod
    S4["Stage 4<br/>Exploitation<br/><i>AI-augmented</i>"]:::mod
    S5["Stage 5<br/>Installation<br/><i>AI-augmented</i>"]:::mod
    S6["Stage 6<br/>Command & Control<br/><i>AI-augmented</i>"]:::mod
    S7["Stage 7<br/>Actions on Objectives<br/><i>EXPANDED</i>"]:::expanded
    S7A["7a. Data Exfiltration<br/><i>classical</i>"]:::expanded
    S7B["7b. Model Extraction<br/><i>NEW</i>"]:::new
    S7C["7c. Agentic Pivot<br/><i>NEW</i>"]:::new

    S0 --> S1 --> S2 --> S3 --> S4 --> S5 --> S6 --> S7
    S7 --> S7A
    S7 --> S7B
    S7 --> S7C

    classDef new fill:#ffe6e6,stroke:#cc0000,stroke-width:2px,color:#000
    classDef mod fill:#fff4d6,stroke:#cc8800,stroke-width:2px,color:#000
    classDef expanded fill:#e6f0ff,stroke:#0044cc,stroke-width:2px,color:#000

红色为新增，黄色为原始内容并带有 AI 子技术，蓝色为原始内容但经过结构性扩展。

该框架在原有的七个阶段基础上增加了三项内容。新增的攻击前阶段 0 位于侦察之前，用于涵盖针对 AI 供应链的对手活动。每个原始阶段都获得了自己的 AI 特定子技术及 EKC ID，以便检测规则和威胁报告可以引用它们。阶段 7 拆分为三个同级子阶段：经典数据外泄保留为 7a，同时新增模型提取（7b）和智能体枢轴（7c）。这些并非数据外泄的变体，而是需要各自独立控制的、不同的对手目标。

逐阶段规范

以下每个阶段规范涵盖四项内容。对手在做什么。AI 特定子技术（带有可在检测规则和威胁报告中引用的 EKC ID）。防御者可以采取行动的检测信号。缓解措施。

阶段 0. 模型供应链入侵（新增）

对手在做什么。 入侵目标组织日后将拉取到其自身 AI 系统中的模型、数据集、微调适配器或分发渠道。对手从不接触目标的网络。他们将入侵植入供应链，然后等待。

子技术。

ID	子技术	描述
EKC-0.1	训练数据投毒	将操纵过的样本注入公共数据集、网络抓取语料库或标注流水线，未来的训练运行将摄取这些内容。
EKC-0.2	微调后门	分发带有隐藏触发-行为对的微调适配器、LoRA 或完整模型检查点。
EKC-0.3	预训练模型木马	以看似合理的名称或通过仿冒真实名称，将恶意模型发布到公共注册表（Hugging Face、Ollama Library、GitHub）。
EKC-0.4	分词器或预处理操纵	更改上游依赖中的分词、归一化或特征提取代码，以添加隐蔽输入通道。
EKC-0.5	恶意 MCP 服务器或工具目录条目	发布旨在被下游智能体调用的工具描述、MCP 服务器清单或函数定义，并通过工具描述本身中的提示注入来利用它们。

检测信号。

• 已部署模型产物的来源缺口（无签名清单、无已知训练数据谱系）。
• 今天从注册表拉取的模型与先前日期拉取的同一标识符之间的加密哈希漂移。
• 来自第三方 MCP 服务器的工具描述包含异常冗长、类似指令的文本或不可打印字符。
• 使用精心设计的触发套件探测已部署模型时，出现异常的神经元激活分布。

主要缓解措施。

• 为每个已部署模型维护模型物料清单（M-BOM），包括基础模型身份、微调数据哈希和适配器来源。
• 对模型产物进行签名和验证。为注册表托管的模型固定特定提交哈希。
• 对新添加的 MCP 服务器进行隔离和沙箱化。将工具描述视为不可信输入进行审查。
• 使用已发布的基准对已部署模型进行常规后门触发扫描。

阶段 1. 侦察（AI 增强）

对手在做什么。 寻找目标的 AI 系统、它们能做什么、它们的护栏是什么，以及它们连接到什么。

AI 增强子技术。

ID	子技术	描述
EKC-1.1	模型指纹识别	通过响应风格探测、延迟分析或已知答案测试，识别已部署 LLM 的基础模型、微调系列和版本。
EKC-1.2	系统提示枚举	使用泄漏查询、角色扮演探测或边界情况提示，恢复系统提示或其主要约束。
EKC-1.3	能力与工具枚举	发现智能体可以访问哪些工具、插件、MCP 服务器或函数调用接口。
EKC-1.4	护栏映射	通过探测拒绝模式并寻找绕过分类器的主题、格式或输入形态，来映射策略边界。
EKC-1.5	嵌入与检索面发现	识别系统从哪些检索源读取数据（向量存储内容、文档语料库、网络抓取域）。

检测信号。 来自单一来源的高熵提示会话。对拒绝边界的系统性探索。与已发布越狱语料库高度匹配的查询。反复请求系统“重复上述指令”。

主要缓解措施。 按用户身份对提示流量进行速率限制和行为聚类。对可识别身份的响应产物进行脱敏。在系统提示中添加金丝雀令牌，在数据外泄时触发。将工具枚举限制为经过身份验证、经过审计的调用者。

阶段 2. 武器化（AI 增强）

对手在做什么。 构建将投递给目标的载荷。

AI 增强子技术。

ID	子技术	描述
EKC-2.1	对抗性提示构造	构建针对阶段 1 中已指纹识别的目标模型、护栏和工具集量身定制的提示注入载荷。
EKC-2.2	多模态载荷构造	将指令嵌入图像、音频、PDF 或结构化文档中，多模态模型将解析这些内容。
EKC-2.3	恶意工具或 MCP 包	构建一个在名称和描述上看似无害，但在被调用时执行攻击者控制操作的工具。
EKC-2.4	越狱链组装	将已知绕过技术（角色预设、编码技巧、低资源语言转换、结构化角色扮演）组合成单一载荷，以击败分层护栏。
EKC-2.5	AI 生成的多态恶意软件	使用模型生成语义等价但词汇多样的恶意软件变体，以规避基于签名的检测。

检测信号。 对入站内容中已知间接注入标记的模式匹配。对图像、PDF 和音频进行隐写指令分析。对新注册的 MCP 包进行静态分析。

阶段 3. 投递（AI 增强）

对手在做什么。 将载荷送达 AI 系统或其操作员。

AI 增强子技术。

ID	子技术	描述
EKC-3.1	通过 Web 内容的间接提示注入	浏览或网页抓取智能体检索到攻击者控制的页面，其中包含指令。
EKC-3.2	RAG 语料库投毒	攻击者提交内容（通过支持工单、公共文档、代码贡献或向量存储摄取），这些内容日后将作为 LLM 的上下文被检索。
EKC-3.3	电子邮件或消息载体注入	将指令放置在 AI 助手被配置为读取或总结的电子邮件中。
EKC-3.4	文档载体注入	将指令放置在由 AI 工作流处理的 PDF、电子表格或办公文档中。
EKC-3.5	工具描述投毒	将指令放置在暴露给智能体的 MCP 工具或函数定义的描述或模式中。
EKC-3.6	图像、音频或二维码注入	将指令编码在非文本模态中，多模态智能体将处理这些内容。

检测信号。 不可信内容流中出现异常的类指令文本。多模态流水线中图像 alpha 通道和元数据的高熵。检索文档内部出现意外的语言切换。

阶段 4. 利用（AI 增强）

对手在做什么。 触发载荷。用 AI 术语来说：让模型遵循攻击者的指令或违反其策略。

AI 增强子技术。

ID	子技术	描述
EKC-4.1	直接提示注入成功	面向用户的提示实现了攻击者的策略违规。
EKC-4.2	间接提示注入成功	通过阶段 3 投递的指令在内容被处理时被模型遵循。
EKC-4.3	混淆代理工具调用	模型代表攻击者调用特权工具，使用智能体自身的权限。
EKC-4.4	护栏或分类器绕过	安全分类器或基于规则的过滤器被规避，从而产生被禁止的内容或采取被禁止的操作。
EKC-4.5	记忆或上下文污染	持久记忆存储被更新为攻击者控制的内容，这些内容将影响未来的会话。