Unternehmen, die künstliche Intelligenz einsetzen, sehen sich mit einer neuen Dimension von Sicherheitsbedrohungen konfrontiert, für deren Bekämpfung herkömmliche Rahmenwerke nicht ausgelegt sind. Laut SecurityWeek's Cyber Insights 2025 nahmen KI-gestützte Cyberangriffe allein im Jahr 2025 um 72 % zu. Diese Eskalation erfordert einen strukturierten Ansatz, um Bedrohungen für KI-Systeme zu verstehen und abzuwehren. Hier kommt das MITRE ATLAS-Framework ins Spiel – die erste umfassende Wissensdatenbank zu ML-Angriffen, die speziell dafür entwickelt wurde, zu katalogisieren, wie Angreifer Machine-Learning- und KI-Systeme ins Visier nehmen.
Für Sicherheitsteams, die bereits mit MITRE ATT&CKvertraut sind, bietet ATLAS (in Suchmaschinen manchmal als Atlas MITRE bezeichnet) eine natürliche Erweiterung in den Bereich der KI-Sicherheit. Dieser Leitfaden enthält alles, was Sicherheitsanalysten, SOC-Leiter und KI-Ingenieure benötigen, um ATLAS gegen feindliche KI-Angriffe einzusetzen – von den Grundlagen des Frameworks bis hin zu praktischen Erkennungsstrategien.
MITRE ATLAS ist eine weltweit zugängliche Wissensdatenbank für gegnerische ML, die Taktiken, Techniken und Verfahren (TTPs) von Angreifern dokumentiert, die speziell auf künstliche Intelligenz und maschinelle Lernsysteme abzielen. Die oft als „MITRE ATLAS Adversarial AI Knowledge Base” bezeichnete Datenbank bietet Sicherheitsteams einen strukturierten Ansatz zum Verständnis, zur Erkennung und zur Abwehr von KI-spezifischen Bedrohungen. Das MITRE ATLAS-Framework orientiert sich am weit verbreiteten MITRE ATT&CK und dient als maßgebliches Sicherheitsframework für maschinelles Lernen zur Bedrohungsmodellierung. Die Abkürzung steht für „Adversarial Threat Landscape for Artificial-Intelligence Systems” (Bedrohungslandschaft für künstliche Intelligenzsysteme).
Laut dem offiziellen MITRE ATLAS CHANGELOG umfasst das Framework seit Oktober 2025 15 Taktiken, 66 Techniken, 46 Untertechniken, 26 Abhilfemaßnahmen und 33 Fallstudien aus der Praxis. Dies stellt eine erhebliche Erweiterung gegenüber früheren Versionen dar, die durch die rasante Entwicklung von KI-Bedrohungen vorangetrieben wurde.
Adversarial Machine Learning – die Untersuchung von Angriffen auf maschinelle Lernsysteme und Abwehrmaßnahmen dagegen – umfasst laut NIST vier Hauptkategorien von Angriffen: Umgehungs-, Vergiftungs-, Datenschutz- und Missbrauchsangriffe. ATLAS organisiert diese Angriffsmuster in einer Matrixstruktur, die Sicherheitsexperten sofort nutzen können.
MITRE hat ATLAS entwickelt, um eine kritische Lücke in der Sicherheitslandschaft zu schließen. ATT&CK katalogisiert zwar effektiv Bedrohungen für traditionelle IT- und OT-Infrastrukturen, deckt jedoch keine Angriffe ab, die die besonderen Eigenschaften von Machine-Learning-Systemen ausnutzen. ATLAS füllt diese Lücke, indem es denselben rigorosen, von der Community validierten Ansatz für KI-Bedrohungsinformationen bietet.
Das Framework ist auch mit MITRE D3FEND, das defensive Gegenmaßnahmen bereitstellt, die Unternehmen gegen ATLAS-Techniken einsetzen können.
Das Verständnis des Unterschieds zwischen ATLAS und ATT&CK hilft Sicherheitsteams dabei, zu entscheiden, wann welches Framework anzuwenden ist.
Tabelle: Vergleich der Frameworks MITRE ATT&CK MITRE ATLAS
ATLAS übernimmt 13 Taktiken aus ATT&CK – darunter Aufklärung, Erstzugriff, Ausführung und Exfiltration –, wendet diese jedoch speziell auf KI-Kontexte an. Die beiden KI-spezifischen Taktiken, die es nur bei ATLAS gibt, sind:
AML.TA0004): Beschreibt, wie Angreifer über Inferenz-APIs oder direkten Zugriff auf Artefakte Zugriff auf Ziel-ML-Modelle erhalten.AML.TA0012): Behandelt, wie Angreifer Angriffe auf ML-Modelle vorbereiten, einschließlich der Vergiftung von Trainingsdaten und Hintertür EinfügungSicherheitsteams sollten beide Frameworks zusammen verwenden, um eine umfassende Abdeckung zu gewährleisten – ATT&CK für traditionelle Infrastrukturbedrohungen und ATLAS für KI-spezifische Angriffsvektoren.
Die offizielle Wissensdatenbank MITRE ATLAS organisiert Bedrohungsinformationen anhand derselben Matrixstruktur, die auch ATT&CK so erfolgreich gemacht hat. Das Verständnis dieser Struktur ermöglicht eine effektive Erkennung von Bedrohungen und die Erstellung von KI-basierten Bedrohungsmodellen.
Die MITRE ATLAS-Matrix (manchmal auch als MITRE-Framework-Matrix für KI bezeichnet) zeigt Taktiken in Spalten und Techniken in Zeilen an. Jede Zelle steht für eine bestimmte Methode, mit der Angreifer taktische Ziele gegen KI-Systeme erreichen wollen. Diese visuelle Darstellung ermöglicht es Sicherheitsteams, Lücken in der Abdeckung schnell zu erkennen und Abwehrmaßnahmen zu priorisieren.
Die Framework-Komponenten arbeiten zusammen:
ATLAS-Daten sind im STIX 2.1-Format verfügbar, was eine maschinenlesbare Integration mit Sicherheitstools und -plattformen ermöglicht. Dieses standardisierte Format unterstützt die automatisierte Einbindung in Threat-Intelligence-Plattformen und SIEM-Systeme.
Das Framework wird regelmäßig durch Beiträge der Community und die laufende Forschung von MITRE aktualisiert. Das Update vom Oktober 2025, das in Zusammenarbeit mit Zenity Labs erstellt wurde, fügte 14 neue agentenorientierte Techniken hinzu und demonstrierte damit die aktive Weiterentwicklung des Frameworks.
Taktiken, Techniken und Verfahren (TTPs) bilden das Kernvokabular der bedrohungsorientierten Verteidigung. In ATLAS:
AML.TXXXX.AML.T0051) umfasst Untertechniken für direkte und indirekte Einspritzverfahren.Diese Hierarchie ermöglicht eine zunehmend detaillierte Bedrohungsmodellierung. Teams können mit einer Analyse auf Taktikebene beginnen und dann je nach Gefährdung ihres KI-Systems einen Drilldown zu bestimmten Techniken durchführen.
ATLAS organisiert 66 Techniken in 15 Taktiken, die den gesamten Lebenszyklus eines Angreifers abdecken. Diese umfassende Aufschlüsselung schließt eine erhebliche Lücke, die bei der Analyse der Konkurrenz festgestellt wurde – kein anderer Leitfaden deckt alle Taktiken mit Schwerpunkt auf der Erkennung ab.
Tabelle: Vollständige Liste der 15 MITRE ATLAS-Taktiken mit den wichtigsten Techniken
Der Angriffszyklus beginnt mit der Aufklärung, bei der Angreifer Informationen über die ML-Zielsysteme sammeln. Zu den wichtigsten Techniken gehören:
AML.T0051): Gegner erstellen bösartige Eingaben, um das Verhalten von LLM zu manipulieren – dies entspricht OWASP LLM01.Diese KI-spezifischen Taktiken beschreiben, wie Angreifer mit ML-Modellen interagieren und diese ausnutzen:
Bedrohungsakteure erhalten sich den Zugriff und vermeiden die Entdeckung durch:
Taktiken in späteren Phasen konzentrieren sich auf das Erreichen der Ziele des Gegners:
AML.T0020): Datenvergiftung verfälscht Trainingsdaten, um das Modellverhalten zu manipulieren – ein kritischer Datenexfiltration VektorDas Verständnis lateraler Bewegungsmuster hilft Sicherheitsteams dabei, die Vorgehensweise von Angreifern bei der Umsetzung dieser Taktiken nachzuvollziehen.
ATLAS bietet kostenlose, praktische Tools, die das Framework von einer Dokumentation in umsetzbare Sicherheitsfunktionen verwandeln. Dieses Tool-Ökosystem schließt eine große Lücke – nur wenige Mitbewerber decken diese Ressourcen umfassend ab.
Tabelle: Offizielles Tool-Ökosystem von MITRE ATLAS
Der ATLAS Navigator bietet eine interaktive Webschnittstelle zur Visualisierung der Framework-Matrix. Sicherheitsteams nutzen den Navigator für folgende Zwecke:
Navigator lässt sich in den ATT&CK Navigator integrieren und ermöglicht so eine einheitliche Ansicht beider Frameworks. Teams, die bereits den ATT&CK Navigator verwenden, werden sich sofort mit der ATLAS-Oberfläche vertraut fühlen.
Im März 2023 gaben Microsoft und MITRE ihre Zusammenarbeit an Arsenal bekannt – einem CALDERA-Plugin, das eine automatisierte Emulation von Angreifern gegen KI-Systeme ermöglicht. Arsenal implementiert ATLAS-Techniken, ohne dass dafür fundierte Kenntnisse im Bereich Deep Learning erforderlich sind.
Zu den wichtigsten Funktionen gehören:
Arsenal unterstützt threat hunting , indem es die Erkennungsreichweite anhand realistischer Angriffssimulationen validiert. Für Incident-Response-Teams hilft Arsenal dabei, die Fähigkeiten von Angreifern zu verstehen und Reaktionsverfahren zu testen.
Die AI Incident Sharing Initiative ermöglicht es Organisationen, Informationen über Sicherheitsvorfälle im Zusammenhang mit KI auszutauschen und daraus zu lernen. Diese gemeinschaftsorientierte Plattform bietet:
Diese Informationen fließen direkt in die ATLAS-Updates ein, sodass das Framework aktuelle Bedrohungsmuster widerspiegelt.
Sicherheitsteams fragen oft, welches KI-Sicherheitsframework sie einsetzen sollen. Die Antwort: Verwenden Sie alle drei, um sich gegenseitig zu ergänzen. Dieser Vergleich hilft Teams zu verstehen, wann sie welches Framework anwenden sollten, und beantwortet damit eine häufig gestellte Frage zu PAA.
Tabelle: Vergleich von KI-Sicherheitsrahmenwerken: ATLAS vs. OWASP vs. NIST AI RMF
Laut der Rahmenanalyse von Cloudsine dienen diese Rahmenwerke verschiedenen Phasen des KI-Sicherheitslebenszyklus:
Tabelle: Rahmenwerk-Crosswalk für häufige KI-Schwachstellen
Das Verständnis der Schwachstellen in allen drei Frameworks ermöglicht eine umfassende Abdeckung. Teams sollten ihre KI-Ressourcen den relevanten Techniken in jedem Framework zuordnen.
Die Integration von ATLAS in Sicherheitsabläufe erfordert die Zuordnung von Techniken zu Erkennungsfunktionen und Arbeitsabläufen. Laut dem SOC-Integrationsleitfaden von ThreatConnect lassen sich etwa 70 % der ATLAS-Abhilfemaßnahmen bestehenden Sicherheitskontrollen zuordnen. Die restlichen 30 % erfordern neue KI-spezifische Kontrollen.
Schritte zur SOC-Integration:
Eine effektive Erkennung erfordert die Zuordnung von ATLAS-Techniken zu bestimmten Protokollquellen und Erkennungslogiken.
Tabelle: Beispiel für die Zuordnung von Erkennungsmerkmalen für vorrangige ATLAS-Techniken
Netzwerkerkennungs- und Reaktionsfunktionen ergänzen die Erkennung auf Anwendungsebene. Die Analyse des Benutzer- und Entitätsverhaltens (UEBA) hilft dabei, anomale Zugriffsmuster auf KI-Systeme zu identifizieren.
Verfolgen Sie diese Kennzahlen, um die Operationalisierung von ATLAS zu messen:
Vierteljährliche Überprüfungen des Bedrohungsmodells stellen sicher, dass der Schutz mit den Aktualisierungen des Frameworks und neuen Bedrohungen Schritt hält.
ATLAS enthält 33 Fallstudien, die reale Angriffe auf KI-Systeme dokumentieren. Die Analyse dieser Vorfälle liefert umsetzbare Erkenntnisse zur Verteidigung, die über die theoretische Bedrohungsmodellierung hinausgehen.
Im November 2025 veröffentlichte MITRE ATLAS eine Fallstudie, in der Deepfake-Angriffe auf mobile KYC-Lebenszeichen-Erkennungssysteme (Know Your Customer) dokumentiert wurden. Laut einem Bericht von Mobile ID World richtete sich dieser Angriff gegen Banken, Finanzdienstleister und Kryptowährungsplattformen.
Verlauf der Angriffskette:
Aufklärung -> Ressourcenentwicklung -> Erster Zugriff -> Umgehung der Verteidigung -> Auswirkung
Defensive Empfehlungen:
Diese Fallstudie zeigt, wie Angreifer Social Engineering mit KI-Tools kombinieren, um Sicherheitskontrollen zu umgehen, was möglicherweise zu Datenverletzungen führen kann.
Die HiddenLayer-Analyse der ATLAS-Fallstudie AML.CS0003 dokumentiert, wie Forscher ein ML-basiertes endpoint umgangen haben:
Sicherheitsbedrohungen durch KI erfordern spezielle Erkennungsansätze, die über herkömmliche Sicherheitskontrollen hinausgehen. Angesichts eines Anstiegs der KI-gestützten Angriffe um 72 % im Jahr 2025 benötigen Unternehmen proaktive Verteidigungsstrategien.
Checkliste für die Sicherheit von KI:
Unternehmen sollten ihre Investitionen in KI-Sicherheit sowohl auf phishing (durch KI generiertes phishing rapide zu) als auch auf ransomware (KI ermöglicht komplexere Angriffe) abstimmen.
Große Sprachmodelle sind einzigartigen Angriffsvektoren ausgesetzt, denen herkömmliche Sicherheitsmaßnahmen nicht gewachsen sind. ATLAS katalogisiert diese Bedrohungen systematisch.
Tabelle: LLM-Bedrohungstypen mit ATLAS-Zuordnung und Erkennungsmethoden
Aktuelle CVEs zeigen diese Bedrohungen in der Praxis:
Funktionen zur Erkennung und Reaktion auf Identitätsbedrohungen helfen dabei, Versuche des Diebstahls von Anmeldedaten durch Ausnutzung von LLM zu erkennen.
Das ATLAS-Update vom Oktober 2025 befasst sich speziell mit autonomen KI-Agenten – Systemen, die Aktionen ausführen, auf Tools zugreifen und den Kontext über mehrere Sitzungen hinweg beibehalten können. Zu den neuen Techniken gehören:
AML.T0058 KI-Agent-Kontextvergiftung: Einschleusen von schädlichen Inhalten in den Speicher oder Thread-Kontext des AgentenAML.T0059 Aktivierungsauslöser: Einbettung von Triggern, die unter bestimmten Bedingungen aktiviert werdenAML.T0060 Daten aus KI-Diensten: Extraktion von Informationen durch Abruf aus der RAG-DatenbankAML.T0061 KI-Agent-Tools: Missbrauch des Zugriffs auf Agent-Tools für böswillige ZweckeAML.T0062 Exfiltration über AI Agent Tool Invocation: Verwendung legitimer Tool-Aufrufe zum Extrahieren von DatenSicherheitsgrundsätze für KI-Agenten:
Gemäß den AI/OT-Leitlinien der CISA vom Dezember 2025 sollten Unternehmen Überwachungs- und Ausfallsicherungen für alle KI-Systeme einbauen, die in kritischen Umgebungen betrieben werden.
Die KI-Sicherheitslandschaft entwickelt sich rasant weiter, wobei regulatorischer Druck und die Zusammenarbeit der Branche die Einführung von Rahmenwerken vorantreiben. Unternehmen müssen sich sowohl auf neue Bedrohungen als auch auf Compliance-Anforderungen vorbereiten.
Das MITRE Secure AI Program, das von 16 Mitgliedsorganisationen wie Microsoft, CrowdStrike und JPMorgan Chase unterstützt wird, konzentriert sich darauf, ATLAS mit Beobachtungen aus der Praxis zu erweitern und den Austausch von KI-Vorfällen zu beschleunigen.
Regulatorische Entwicklungen:
Trends im Bereich KI-Sicherheitsbedrohungen für 2025 zeigen eine anhaltende Beschleunigung. Laut einer Branchenstudie geben 87 % der Unternehmen an, dass sie KI-gestützten Cyberangriffen ausgesetzt sind.
Attack Signal IntelligenceVectra AI wendet verhaltensbasierte Erkennungsprinzipien an, die mit den Zielen des ATLAS-Frameworks übereinstimmen. Durch die Konzentration auf das Verhalten von Angreifern anstelle von statischen Signaturen können Unternehmen die in ATLAS katalogisierten Techniken – von Prompt-Injection-Versuchen bis hin zur Datenexfiltration über Inferenz-APIs – in hybriden cloud erkennen.
Dieser Ansatz ermöglicht es Sicherheitsteams, echte KI-bezogene Bedrohungen zu identifizieren und zu priorisieren und gleichzeitig die Anzahl der Fehlalarme zu reduzieren. Die Kombination aus Netzwerküberwachung und -reaktion mit der Erkennung von Identitätsbedrohungen sorgt für Transparenz über die gesamte Angriffsfläche, auf die KI-Bedrohungen heute abzielen.
MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems) ist eine weltweit zugängliche Wissensdatenbank, die Taktiken, Techniken und Fallstudien von Angreifern katalogisiert, die speziell auf KI- und Machine-Learning-Systeme abzielen. Nach dem Vorbild von MITRE ATT&CK bietet ATLAS einen strukturierten Rahmen zum Verständnis von KI-spezifischen Bedrohungen. Im Oktober 2025 umfasste es 15 Taktiken, 66 Techniken, 46 Untertechniken, 26 Abhilfemaßnahmen und 33 Fallstudien aus der Praxis. Sicherheitsteams nutzen ATLAS für die Bedrohungsmodellierung, die Entwicklung von Erkennungsmethoden und das Red Teaming von KI-Systemen. Das Framework ist unter atlas.mitre.org frei verfügbar.
Während ATT&CK sich auf traditionelle IT/OT-Bedrohungen konzentriert, befasst sich ATLAS speziell mit Angriffen auf KI- und maschinelle Lernsysteme. ATLAS umfasst zwei einzigartige Taktiken, die in ATT&CK nicht zu finden sind: ML Model Access (AML.TA0004) und ML-Angriffsstaging (AML.TA0012). Beide Frameworks verwenden dieselbe Matrixstruktur und TTP-Methodik, wodurch ATLAS für Sicherheitsteams, die bereits mit ATT&CK vertraut sind, zugänglich ist. Unternehmen sollten beide Frameworks gemeinsam nutzen – ATT&CK für Infrastrukturbedrohungen und ATLAS für KI-spezifische Angriffsvektoren. Die Frameworks haben gemeinsame Taktiken, wenden diese jedoch auf unterschiedliche technologische Kontexte an.
Seit Oktober 2025 enthält MITRE ATLAS 15 Taktiken, 66 Techniken und 46 Untertechniken. Mit dem Update vom Oktober 2025 wurden in Zusammenarbeit mit Zenity Labs 14 neue agentenorientierte Techniken hinzugefügt, die sich mit Sicherheitsrisiken autonomer KI-Agenten befassen. Das Framework umfasst außerdem 26 Abhilfemaßnahmen und 33 Fallstudien. Dies stellt eine erhebliche Erweiterung gegenüber früheren Versionen dar – einige ältere Quellen nennen 56 Techniken, was den Stand vor Oktober 2025 widerspiegelt. Aktuelle Statistiken finden Sie immer im offiziellen ATLAS CHANGELOG.
Prompt-Injektion (AML.T0051) ist eine Initial-Access-Technik, bei der Angreifer bösartige Eingaben erstellen, um das Verhalten von LLM zu manipulieren. ATLAS unterscheidet zwischen direkter Prompt-Injection (bösartige Inhalte in Benutzereingaben) und indirekter Prompt-Injection (bösartige Inhalte, die in externe Datenquellen eingebettet sind, die das LLM verarbeitet). Diese Technik entspricht OWASP LLM01 und stellt einen der häufigsten Angriffsvektoren gegen LLM-Anwendungen dar. Die Erkennung konzentriert sich auf die Analyse von Eingabemustern und die Überwachung des Ausgabeverhaltens. Aktuelle CVEs, darunter CVE-2025-32711 (EchoLeak), zeigen reale Ausnutzungen.
Verwenden Sie ATLAS Navigator, um das Framework zu visualisieren und benutzerdefinierte Ebenen zu erstellen, die Ihre KI-Ressourcen den relevanten Techniken zuordnen. Beginnen Sie mit einer Bestandsaufnahme aller ML-Modelle, Trainingspipelines und KI-fähigen Anwendungen. Identifizieren Sie anhand der Systemarchitektur, welche Taktiken für Ihre ML-Pipeline-Phasen gelten. Priorisieren Sie Techniken anhand ihrer Exposition und Wahrscheinlichkeit. Ordnen Sie Erkennungsfunktionen zu, um Visualisierungen der Abdeckung zu erstellen. Integrieren Sie ATLAS in bestehende Methoden zur Bedrohungsmodellierung wie STRIDE und ATT&CK, um eine umfassende Abdeckung zu erzielen. Überprüfen und aktualisieren Sie die Bedrohungsmodelle vierteljährlich, während sich das Framework weiterentwickelt.
ATLAS bietet mehrere kostenlose Tools an. Navigator bietet eine webbasierte Matrixvisualisierung für die Bedrohungsmodellierung und Abdeckungskartierung. Arsenal ist ein CALDERA-Plugin für automatisiertes AI Red Teaming, das in Zusammenarbeit mit Microsoft entwickelt wurde. Die AI Incident Sharing Initiative ermöglicht den Austausch von Bedrohungsinformationen innerhalb der Community durch anonymisierte Vorfallberichte. Die AI Risk Database bietet durchsuchbare Informationen zu Vorfällen und Schwachstellen. Alle Tools sind unter atlas.mitre.org und über die GitHub-Repositorys von MITRE zugänglich. Diese Tools verwandeln ATLAS von einer Dokumentation in umsetzbare Sicherheitsfunktionen.
ATLAS und OWASP LLM Top 10 ergänzen sich gegenseitig. ATLAS bietet ein gegnerorientiertes TTP-Framework für die Modellierung und Erkennung von Bedrohungen, während OWASP eine entwicklerorientierte Liste von Schwachstellen für eine sichere Entwicklung bereitstellt. Verwenden Sie OWASP während der Entwicklungs- und Codeüberprüfungsphasen und ATLAS für die operative Sicherheit, die Modellierung von Bedrohungen und die Entwicklung von Erkennungsmechanismen. Viele Schwachstellen tauchen in beiden Frameworks aus unterschiedlichen Perspektiven auf – beispielsweise ist die Prompt-Injection eine ATLAS-Technik. AML.T0051 und OWASP LLM01. Der beste Ansatz kombiniert beide Frameworks mit NIST AI RMF für die Governance.