AI時代の脅威に対応する拡張サイバーキルチェーン

情報セキュリティ研究者のGourav Nagar氏は、LLMやAIエージェント攻撃に対応するための拡張サイバーキルチェーンフレームワークを公開した。このフレームワークは、Lockheed Martinが2011年に提唱した7段階のサイバーキルチェーンを基盤とし、AI時代の攻撃特性に合わせて3つの拡張を行っている。

古典的なキルチェーンは、偵察、武器化、配送、悪用、インストール、コマンド＆コントロール、目標行動の7段階からなり、「いずれかの段階を阻止すれば攻撃全体を中断できる」という価値を持つ。しかし、LLMやAIエージェントの出現により、従来の前提は崩れた。攻撃者はモデルの重み、トレーニングデータ、システムプロンプト、ツールの説明を標的にできる。ドキュメントやWebページが指示を含み、AIエージェントがそれをユーザー入力のように実行する。ツールアクセスを持つエージェントは、シェルコードをロードすることなく、正当な信頼関係を通じてピボットできる。

新しいフレームワークでは、ステージ0（モデルサプライチェーン侵害）を追加し、攻撃活動をターゲット組織がAIシステムに触れる前に先行させる。このステージには、トレーニングデータポイズニング（EKC-0.1）、ファインチューニングバックドア（EKC-0.2）、事前学習モデルトロイ（EKC-0.3）、トークナイザー/前処理操作（EKC-0.4）、悪意のあるMCPサーバー/ツールカタログエントリ（EKC-0.5）が含まれる。検出シグナルとしては、デプロイされたモデルアーティファクトの来歴ギャップ、ハッシュのドリフト、ツール説明内の異常なテキスト、ニューロン活性化分布の異常などが挙げられる。主要な緩和策として、モデル部品表（M-BOM）の維持、モデルアーティファクトの署名検証、新規MCPサーバーの隔離、定期的なバックドアトリガースキャンが推奨される。

元の7段階の各段階には、AI固有のサブテクニックが追加された。例えば、ステージ1（偵察）では、モデルフィンガープリンティング（EKC-1.1）、システムプロンプト列挙（EKC-1.2）、能力・ツール列挙（EKC-1.3）、ガードレールマッピング（EKC-1.4）、埋め込み・検索表面の発見（EKC-1.5）が新設された。これらのサブテクニックにはEKC IDが割り当てられ、検出ルールや脅威レポートで参照できる。

ステージ7（目標行動）は、7a. 古典的データ流出、7b. モデル抽出（新規）、7c. エージェントピボット（新規）の3つの並列サブステージに分割された。モデル抽出は重み、ファインチューニングデータ、システムプロンプトなどを対象とし、エージェントピボットはAIエージェントが既に許可されたツール（MCP、関数呼び出し、ブラウザ制御）を利用して横移動する。

このフレームワークはMITRE ATLASやOWASP LLM Top 10を置き換えるものではなく、同じ脅威表面をキルチェーン視点で提示するものだ。ATLAS v5.4.0（2026年2月）は16の戦術、84のテクニック、42のケーススタディを含み、間接プロンプトインジェクションやエージェントC2をカバーしているが、マトリックス形式で構成されている。本拡張キルチェーンは、古典的な段階の遮断ロジックを維持し、防御者が慣れ親しんだ段階で脅威モデリングを行えるようにする。

フレームワークには、MITRE ATLAS、OWASP LLM Top 10、NIST AI RMFとの関係マッピング、実際のケーススタディ、検出および緩和ガイダンスも含まれている。Nagar氏は、本フレームワークが共著書『Cyber Security Kill Chain: Tactics and Strategies』（Packt, 2025）を拡張したものであると述べている。