MITRE ATLAS erklärt: Der vollständige Leitfaden zu KI-Sicherheitsbedrohungsinformationen

Wichtige Erkenntnisse

  • MITRE ATLAS catalogs 16 tactics, 84 techniques, and 56 sub-techniques specifically targeting AI and machine learning systems, up from 15 tactics and 66 techniques as of October 2025.
  • The November 2025 framework update (v5.1.0) expanded to 16 tactics, 84 techniques, 32 mitigations, and 42 case studies, with continued updates through February 2026 adding agentic AI techniques.
  • ATLAS ergänzt OWASP LLM Top 10 und NIST AI RMF, anstatt mit ihnen zu konkurrieren – nutzen Sie alle drei für eine umfassende Abdeckung.
  • Etwa 70 % der ATLAS-Abhilfemaßnahmen lassen sich bestehenden Sicherheitskontrollen zuordnen, wodurch die Integration in aktuelle SOC-Workflows praktikabel ist.
  • Kostenlose Tools wie ATLAS Navigator und Arsenal ermöglichen sofortige Bedrohungsmodellierung und Red-Teaming-Funktionen.

Organizations deploying artificial intelligence face a new frontier of security threats that traditional frameworks were never designed to address. AI-enabled adversary attacks surged 89% compared to prior years according to industry threat intelligence research, up from a 72% increase reported in 2025. This escalation demands a structured approach to understanding and defending against adversarial threats to AI systems. Enter MITRE ATLAS — the Adversarial Threat Landscape for Artificial-Intelligence Systems — a comprehensive adversarial ML knowledge base designed specifically to catalog how attackers target machine learning and AI systems.

Für Sicherheitsteams, die bereits mit MITRE ATT&CKvertraut sind, bietet ATLAS (in Suchmaschinen manchmal als Atlas MITRE bezeichnet) eine natürliche Erweiterung in den Bereich der KI-Sicherheit. Dieser Leitfaden enthält alles, was Sicherheitsanalysten, SOC-Leiter und KI-Ingenieure benötigen, um ATLAS gegen feindliche KI-Angriffe einzusetzen – von den Grundlagen des Frameworks bis hin zu praktischen Erkennungsstrategien.

Was ist MITRE ATLAS?

MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems) is a globally accessible adversarial ML knowledge base that documents adversary tactics, techniques, and procedures (TTPs) specifically targeting artificial intelligence and machine learning systems. Modeled after the widely adopted MITRE ATT&CK framework, this adversarial AI knowledge base provides security teams with a structured approach to understanding, detecting, and defending against AI-specific threats. The MITRE ATLAS framework serves as the definitive machine learning security framework for AI threat modeling.

As of version 5.1.0 (November 2025), the framework contains 16 tactics, 84 techniques, 56 sub-techniques, 32 mitigations, and 42 real-world case studies according to the official MITRE ATLAS CHANGELOG, up from 15 tactics and 66 techniques in October 2025. The February 2026 update (v5.4.0) added further agent-focused techniques. This rapid growth reflects the accelerating evolution of AI threats.

Adversarial Machine Learning – die Untersuchung von Angriffen auf maschinelle Lernsysteme und Abwehrmaßnahmen dagegen – umfasst laut NIST vier Hauptkategorien von Angriffen: Umgehungs-, Vergiftungs-, Datenschutz- und Missbrauchsangriffe. ATLAS organisiert diese Angriffsmuster in einer Matrixstruktur, die Sicherheitsexperten sofort nutzen können.

MITRE hat ATLAS entwickelt, um eine kritische Lücke in der Sicherheitslandschaft zu schließen. ATT&CK katalogisiert zwar effektiv Bedrohungen für traditionelle IT- und OT-Infrastrukturen, deckt jedoch keine Angriffe ab, die die besonderen Eigenschaften von Machine-Learning-Systemen ausnutzen. ATLAS füllt diese Lücke, indem es denselben rigorosen, von der Community validierten Ansatz für KI-Bedrohungsinformationen bietet.

Das Framework ist auch mit MITRE D3FEND, das defensive Gegenmaßnahmen bereitstellt, die Unternehmen gegen ATLAS-Techniken einsetzen können.

ATLAS vs. MITRE ATT&CK: Wesentliche Unterschiede

Das Verständnis des Unterschieds zwischen ATLAS und ATT&CK hilft Sicherheitsteams dabei, zu entscheiden, wann welches Framework anzuwenden ist.

Tabelle: Vergleich der Frameworks MITRE ATT&CK MITRE ATLAS

Aspekt MITRE ATT&CK MITRE ATLAS
Hauptfokus Traditionelle IT/OT-Angriffsverhalten KI/ML-spezifische gegnerische Verhaltensweisen
Taktikanzahl 14 Taktiken (Unternehmen) 16 tactics (14 inherited + 2 AI-specific)
Technikanzahl Über 196 Techniken 84 techniques
Einzigartige Taktiken Keine AI-spezifischen Zugriff auf ML-Modelle, Vorbereitung von ML-Angriffen
Zielsysteme Endpunkte, Netzwerke, cloud ML-Modelle, Trainingspipelines, LLMs
Fallstudien Gruppen und Softwareprofile 42 AI-specific incident analyses
Am besten geeignet für Endpoint-Bedrohungsmodellierung Bedrohungsmodellierung für KI-Systeme

ATLAS übernimmt 13 Taktiken aus ATT&CK – darunter Aufklärung, Erstzugriff, Ausführung und Exfiltration –, wendet diese jedoch speziell auf KI-Kontexte an. Die beiden KI-spezifischen Taktiken, die es nur bei ATLAS gibt, sind:

  • Zugriff auf ML-Modell (AML.0004): Beschreibt, wie Angreifer über Inferenz-APIs oder direkten Zugriff auf Artefakte Zugriff auf Ziel-ML-Modelle erhalten.
  • ML-Angriffsvorbereitung (AML.0012): Behandelt, wie Angreifer Angriffe auf ML-Modelle vorbereiten, einschließlich der Vergiftung von Trainingsdaten und Hintertür Einfügung

Sicherheitsteams sollten beide Frameworks zusammen verwenden, um eine umfassende Abdeckung zu gewährleisten – ATT&CK für traditionelle Infrastrukturbedrohungen und ATLAS für KI-spezifische Angriffsvektoren.

So funktioniert ATLAS: Rahmenstruktur und die MITRE ATLAS-Matrix

Die offizielle Wissensdatenbank MITRE ATLAS organisiert Bedrohungsinformationen anhand derselben Matrixstruktur, die auch ATT&CK so erfolgreich gemacht hat. Das Verständnis dieser Struktur ermöglicht eine effektive Erkennung von Bedrohungen und die Erstellung von KI-basierten Bedrohungsmodellen.

The MITRE ATLAS matrix (sometimes called the MITRE framework matrix for AI or the AI threat matrix) displays tactics as columns and techniques as rows. Each cell represents a specific method adversaries use to achieve tactical goals against AI systems. This visual organization allows security teams to quickly identify coverage gaps and prioritize defenses.

Die Framework-Komponenten arbeiten zusammen:

  1. Taktiken beantworten das „Warum“ – das Ziel des Gegners in jeder Angriffsphase.
  2. Techniken beantworten die Frage „Wie?“ – spezifische Methoden zur Erreichung taktischer Ziele.
  3. Untertechniken liefern detaillierte Informationen zu Technikvariationen.
  4. Abhilfemaßnahmen beschreiben defensive Maßnahmen, die bestimmten Techniken entgegenwirken.
  5. Fallstudien dokumentieren reale Angriffe, die ATLAS-TTP-Methoden zugeordnet sind.

ATLAS-Daten sind im STIX 2.1-Format verfügbar, was eine maschinenlesbare Integration mit Sicherheitstools und -plattformen ermöglicht. Dieses standardisierte Format unterstützt die automatisierte Einbindung in Threat-Intelligence-Plattformen und SIEM-Systeme.

The framework receives regular updates through community contributions and MITRE's ongoing research. The October 2025 update through Zenity Labs collaboration added 14 new agent-focused techniques, followed by the November 2025 v5.1.0 release that expanded the framework to 16 tactics with 84 techniques. The February 2026 v5.4.0 update added further techniques including "Publish Poisoned AI Agent Tool" and "Escape to Host," demonstrating the framework's active evolution.

Verständnis von Taktiken, Techniken und Verfahren (TTPs)

Taktiken, Techniken und Verfahren (TTPs) bilden das Kernvokabular der bedrohungsorientierten Verteidigung. In ATLAS:

  • Tactics represent adversary goals at each phase of an attack against AI systems. The 16 ATLAS tactics span from initial reconnaissance through ultimate impact and command and control.
  • Techniken Beschreiben Sie die spezifischen Maßnahmen, die Gegner ergreifen, um taktische Ziele zu erreichen. Jede Technik hat eine eindeutige Kennung im Format AML.TXXXX.
  • Untertechniken break down techniques into more specific variations. For example, prompt injection (AML.0051) umfasst Untertechniken für direkte und indirekte Einspritzverfahren.
  • In Fallstudien werden Verfahren vorgestellt, die genau zeigen, wie Angreifer in der Praxis bestimmte Techniken eingesetzt haben.

Diese Hierarchie ermöglicht eine zunehmend detaillierte Bedrohungsmodellierung. Teams können mit einer Analyse auf Taktikebene beginnen und dann je nach Gefährdung ihres KI-Systems einen Drilldown zu bestimmten Techniken durchführen.

The 16 ATLAS tactics and key techniques

ATLAS organizes 84 techniques across 16 tactics that span the complete adversarial lifecycle, up from 15 tactics and 66 techniques in October 2025. This comprehensive breakdown addresses a significant content gap identified in competitor analysis — no existing guide covers all tactics with detection-focused guidance.

Table: MITRE ATLAS tactics with key techniques

Taktik-ID Taktikname Schlüsseltechniken Erkennungsfokus
AML.0001 Aufklärungsarbeit ML-Artefakte entdecken, ML-Modellontologie entdecken, Aktives Scannen Monitor für die Überprüfung der Modellarchitektur
AML.0002 Ressourcenentwicklung Erwerb öffentlicher ML-Artefakte, Entwicklung von Fähigkeiten für gegnerische ML-Angriffe Entstehung von Tools für gegnerische Zwecke verfolgen
AML.0003 Erster Zugang ML Supply Chain Compromise, Prompt Injection (AML.0051) Lieferkette prüfen, Eingaben validieren
AML.0004 Zugriff auf ML-Modell Zugriff auf Inferenz-API, Zugriff auf ML-Artefakte API-Zugriffsprotokollierung, Artefaktintegrität
AML.0005 Ausführung Benutzerausführung, Kompromittierung des LLM-Plugins Überwachung der Plugin-Sicherheit
AML.0006 Persistenz Konfiguration des KI-Agenten ändern Erkennung von Konfigurationsänderungen
AML.0007 Rechte-Eskalation Ausnutzung durch ML-System ML-System-Grenzüberwachung
AML.0008 Verteidigung Umgehung Adversarial Perturbation, LLM Meta Prompt Extraction Erkennung von Verhaltensanomalien bei Modellen
AML.0009 Zugang zu Anmeldeinformationen Anmeldedaten aus der AI-Agent-Konfiguration Überwachung des Zugriffs auf die Agentenkonfiguration
AML.0010 Entdeckung Entdecken Sie die Konfiguration von KI-Agenten Erkennung von Aufzählungsversuchen
AML.0011 Sammlung Daten aus KI-Diensten, RAG-Datenbankabfrage Analyse des Datenzugriffsmusters
AML.0012 ML-Angriffsvorbereitung Gift-Trainingsdaten (AML.0020), Backdoor-ML-Modell Überwachung der Integrität von Trainingsdaten
AML.0013 Exfiltration Exfiltration über ML-Inferenz-API, Exfiltration über Aufruf des KI-Agent-Tools Erkennung von Anomalien bei der API-Nutzung
AML.0014 Auswirkungen Verweigerung des ML-Dienstes, Umgehung des ML-Modells, Spamming des ML-Systems Überwachung der Serviceverfügbarkeit
AML.0015 Command and Control Reverse Shell, AI Service API (AML.0096) C2 channel detection in AI infrastructure

The November 2025 v5.1.0 release added a 16th tactic — Command and Control (AML.0015) — along with 18 new techniques and 6 new mitigations focused on AI agent security controls. This brought the total from 66 to 84 techniques and from 33 to 42 case studies.

Aufklärung durch ersten Zugriff (AML.TA0001-AML.TA0003)

Der Angriffszyklus beginnt mit der Aufklärung, bei der Angreifer Informationen über die ML-Zielsysteme sammeln. Zu den wichtigsten Techniken gehören:

  • Entdecken Sie ML-Artefakte: Gegner durchsuchen öffentliche Repositorys, Dokumentationen und APIs, um Modellarchitekturen und Trainingsdaten zu verstehen.
  • Supply Chain : Angreifer zielen auf Lieferkettenangriffe ab, indem sie bösartigen Code oder Daten in ML-Pipelines einschleusen.
  • Prompt Injection (AML.0051): Gegner erstellen bösartige Eingaben, um das Verhalten von LLM zu manipulieren – dies entspricht OWASP LLM01.

Zugriff auf ML-Modelle und deren Ausführung (AML.TA0004-AML.TA0005)

Diese KI-spezifischen Taktiken beschreiben, wie Angreifer mit ML-Modellen interagieren und diese ausnutzen:

  • Zugriff auf Inference-API: Der Zugriff auf Modellvorhersageschnittstellen ermöglicht Aufklärung und Angriffsvorbereitungen.
  • LLM-Plugin-Kompromittierung: Die Ausnutzung anfälliger Plugins erweitert die Möglichkeiten von Angreifern innerhalb von KI-Systemen.

Beharrlichkeit durch Umgehung von Abwehrmaßnahmen (AML.TA0006-AML.TA0008)

Bedrohungsakteure erhalten sich den Zugriff und vermeiden die Entdeckung durch:

  • Ändern der KI-Agentenkonfiguration (Ergänzung vom Oktober 2025): Angreifer ändern die Agenten-Einstellungen, um die Persistenz aufrechtzuerhalten.
  • Adversarial Perturbation: Erstellen von Eingaben, die zu Fehlklassifizierungen durch Modelle führen, während sie für Menschen normal erscheinen

Erfassung durch Auswirkungen (AML.TA0009-AML.TA0014)

Taktiken in späteren Phasen konzentrieren sich auf das Erreichen der Ziele des Gegners:

  • RAG-Datenbankabfrage: Extrahieren sensibler Informationen aus abfrageverstärkten Generierungssystemen
  • Gift-Trainingsdaten (AML.0020): Datenvergiftung verfälscht Trainingsdaten, um das Modellverhalten zu manipulieren – ein kritischer Datenexfiltration Vektor
  • Exfiltration über AI Agent Tool Invocation (Ergänzung vom Oktober 2025): Nutzung des Zugriffs auf Agent-Tools zum Extrahieren von Daten

Das Verständnis lateraler Bewegungsmuster hilft Sicherheitsteams dabei, die Vorgehensweise von Angreifern bei der Umsetzung dieser Taktiken nachzuvollziehen.

ATLAS-Tools-Ökosystem

ATLAS bietet kostenlose, praktische Tools, die das Framework von einer Dokumentation in umsetzbare Sicherheitsfunktionen verwandeln. Dieses Tool-Ökosystem schließt eine große Lücke – nur wenige Mitbewerber decken diese Ressourcen umfassend ab.

Tabelle: Offizielles Tool-Ökosystem von MITRE ATLAS

Werkzeug Zweck URL Wesentliche Merkmale
ATLAS-Navigator Matrixvisualisierung und Annotation atlas.mitre.org Benutzerdefinierte Ebenen, Abdeckungskartierung, Exportfunktionen
Arsenal Automatisierte Emulation von Angreifern github.com/mitre-atlas/arsenal CALDERA-Plugin, technische Implementierung, Automatisierung des Red Teams
AI-Vorfallsaustausch Bedrohungsinformationen der Community ai-vorfälle.mitre.org Anonymisierte Vorfallberichte, Schwachstellendatenbank
KI-Risikodatenbank Repository für Vorfälle und Schwachstellen ai-vorfälle.mitre.org Durchsuchbare Vorfälle, CVE-Integration

ATLAS Navigator-Anleitung

Der ATLAS Navigator bietet eine interaktive Webschnittstelle zur Visualisierung der Framework-Matrix. Sicherheitsteams nutzen den Navigator für folgende Zwecke:

  1. Abdeckungskartierung: Erstellen Sie benutzerdefinierte Ebenen, die zeigen, welche Techniken Ihre Sicherheitskontrollen abdecken.
  2. Bedrohungsmodellierung: Heben Sie relevante Techniken hervor, die auf der Architektur Ihres KI-Systems basieren.
  3. Lückenanalyse: Identifizieren Sie Techniken ohne entsprechende Erkennungsfunktionen.
  4. Berichterstattung: Exportieren von Visualisierungen für die Kommunikation mit Stakeholdern

Navigator lässt sich in den ATT&CK Navigator integrieren und ermöglicht so eine einheitliche Ansicht beider Frameworks. Teams, die bereits den ATT&CK Navigator verwenden, werden sich sofort mit der ATLAS-Oberfläche vertraut fühlen.

Arsenal für AI-Red-Teaming

Im März 2023 gaben Microsoft und MITRE ihre Zusammenarbeit an Arsenal bekannt – einem CALDERA-Plugin, das eine automatisierte Emulation von Angreifern gegen KI-Systeme ermöglicht. Arsenal implementiert ATLAS-Techniken, ohne dass dafür fundierte Kenntnisse im Bereich Deep Learning erforderlich sind.

Zu den wichtigsten Funktionen gehören:

  • Vorkonfigurierte Gegnerprofile basierend auf ATLAS-Taktiken
  • Automatisierte Ausführung von Angriffsketten für Purple-Team-Übungen
  • Ergebnisse direkt den ATLAS-Technik-IDs zugeordnet
  • Integration mit bestehenden CALDERA-Implementierungen

Arsenal unterstützt threat hunting , indem es die Erkennungsreichweite anhand realistischer Angriffssimulationen validiert. Für Incident-Response-Teams hilft Arsenal dabei, die Fähigkeiten von Angreifern zu verstehen und Reaktionsverfahren zu testen.

Initiative zum Austausch von KI-Vorfällen

Die AI Incident Sharing Initiative ermöglicht es Organisationen, Informationen über Sicherheitsvorfälle im Zusammenhang mit KI auszutauschen und daraus zu lernen. Diese gemeinschaftsorientierte Plattform bietet:

  • Anonymisierte Vorfallberichte mit ATLAS-Technik-Kartierung
  • Durchsuchbare Datenbank mit KI-Schwachstellen und Angriffen
  • Integration mit den CVE- und CWE-KI-Arbeitsgruppen
  • Trendanalyse über gemeldete Vorfälle hinweg

Diese Informationen fließen direkt in die ATLAS-Updates ein, sodass das Framework aktuelle Bedrohungsmuster widerspiegelt.

Vergleich der Frameworks: ATLAS vs. OWASP LLM Top 10 vs. NIST AI RMF

Sicherheitsteams fragen oft, welches KI-Sicherheitsframework sie einsetzen sollen. Die Antwort: Verwenden Sie alle drei, um sich gegenseitig zu ergänzen. Dieser Vergleich hilft Teams zu verstehen, wann sie welches Framework anwenden sollten, und beantwortet damit eine häufig gestellte Frage zu PAA.

Tabelle: Vergleich von KI-Sicherheitsrahmenwerken: ATLAS vs. OWASP vs. NIST AI RMF

Rahmenwerk Schwerpunkt Publikum Am besten für
MITRE ATLAS Feindliche TTPs für KI-Systeme Sicherheitsmaßnahmen, Bedrohungsjäger Bedrohungsmodellierung, Entwicklung von Erkennungsmechanismen, Red Teaming
OWASP LLM Top 10 LLM-Anwendungsschwachstellen Entwickler, AppSec-Ingenieure Sichere Entwicklung, Codeüberprüfung, Schwachstellenanalyse
NIST KI RMF Risikomanagement im Bereich KI Risikomanager, Compliance-Teams Organisationsführung, Einhaltung gesetzlicher Vorschriften

Laut der Rahmenanalyse von Cloudsine dienen diese Rahmenwerke verschiedenen Phasen des KI-Sicherheitslebenszyklus:

  • Entwicklungsphase: OWASP LLM Top 10 Leitfäden für sichere Codierungspraktiken
  • Operationsphase: ATLAS informiert über Bedrohungsmodellierung und Erkennungsstrategien
  • Governance-Phase: NIST AI RMF strukturiert Risikomanagement und Compliance

Crosswalk-Tabelle: Zuordnung zwischen Frameworks

Tabelle: Rahmenwerk-Crosswalk für häufige KI-Schwachstellen

Verwundbarkeit ATLAS-Technik OWASP LLM NIST-Funktion für KI-RMF
Prompt injection AML.0051 LLM01 Karte, Maß
Datenvergiftung AML.0020 LLM03 Verwalten Sie
Lieferkette ML Supply Chain LLM05 Regieren
Modelldiebstahl Modell-Extraktion LLM10 Verwalten Sie

Das Verständnis der Schwachstellen in allen drei Frameworks ermöglicht eine umfassende Abdeckung. Teams sollten ihre KI-Ressourcen den relevanten Techniken in jedem Framework zuordnen.

SOC-Integration und Operationalisierung

Die Integration von ATLAS in Sicherheitsabläufe erfordert die Zuordnung von Techniken zu Erkennungsfunktionen und Arbeitsabläufen. Laut dem SOC-Integrationsleitfaden von ThreatConnect lassen sich etwa 70 % der ATLAS-Abhilfemaßnahmen bestehenden Sicherheitskontrollen zuordnen. Die restlichen 30 % erfordern neue KI-spezifische Kontrollen.

Schritte zur SOC-Integration:

  1. Bestandsaufnahme der KI-Ressourcen: Dokumentieren Sie alle ML-Modelle, Trainingspipelines und KI-fähigen Anwendungen.
  2. Techniken auf Assets abbilden: Identifizieren Sie anhand Ihrer KI-Architektur, welche ATLAS-Techniken anzuwenden sind.
  3. Aktuelle Abdeckung bewerten: Verwenden Sie Navigator, um vorhandene Erkennungsfunktionen zu visualisieren.
  4. Priorisieren Sie Lücken: Konzentrieren Sie sich auf wirkungsvolle Techniken, die für Ihre Umgebung relevant sind.
  5. Erstellen Sie Erkennungsregeln: Erstellen Sie SIEM -Regeln und Warnmeldungen für vorrangige Techniken.
  6. Festlegen von Basiswerten: Definieren Sie normales Verhalten für die Telemetrie von KI-Systemen.
  7. Integration in Arbeitsabläufe: ATLAS-Kontext zu Alarmierungs-, Triage- und Untersuchungsverfahren hinzufügen
  8. Vierteljährliche Überprüfung: Aktualisieren Sie die Bedrohungsmodelle entsprechend der Weiterentwicklung von ATLAS.

Zuordnung von Erkennungsregeln

Eine effektive Erkennung erfordert die Zuordnung von ATLAS-Techniken zu bestimmten Protokollquellen und Erkennungslogiken.

Tabelle: Beispiel für die Zuordnung von Erkennungsmerkmalen für vorrangige ATLAS-Techniken

ATLAS-Technik Protokollquelle Erkennungslogik Priorität
Prompt Injection (AML.0051) Anwendungsprotokolle, API-Gateway Ungewöhnliche Eingabemuster, Injektionssignaturen Kritisch
Datenvergiftung (AML.0020) Protokolle der Trainingspipeline Anomalien bei der Datenverteilung, Verstöße gegen die Herkunftsvorschriften Hoch
ML-Inferenz-API-Exfiltration API access logs, cloud security logs Anfragen mit hohem Volumen, ungewöhnliche Zugriffsmuster Hoch
Modell-Extraktion Inferenz-API-Protokolle Systematische Abfragen zur Untersuchung von Modellgrenzen Mittel

Netzwerkerkennungs- und Reaktionsfunktionen ergänzen die Erkennung auf Anwendungsebene. Die Analyse des Benutzer- und Entitätsverhaltens (UEBA) hilft dabei, anomale Zugriffsmuster auf KI-Systeme zu identifizieren.

Metriken und Reichweitenverfolgung

Verfolgen Sie diese Kennzahlen, um die Operationalisierung von ATLAS zu messen:

  • Technikabdeckung: Prozentsatz relevanter Techniken mit Erkennungsregeln
  • Erkennungslatenz: Zeit zwischen der Ausführung des Angriffs und der Generierung einer Warnmeldung
  • Falsch-positiv-Rate: Alarmgenauigkeit für KI-spezifische Erkennungen
  • Aktualität des Bedrohungsmodells: Tage seit der letzten Aktualisierung durch ATLAS

Vierteljährliche Überprüfungen des Bedrohungsmodells stellen sicher, dass der Schutz mit den Aktualisierungen des Frameworks und neuen Bedrohungen Schritt hält.

Fallstudien und gewonnene Erkenntnisse

ATLAS includes 42 case studies documenting real-world attacks against AI systems, up from 33 in October 2025. Analyzing these incidents provides actionable defensive insights that go beyond theoretical threat modeling.

Analyse der Fallstudie zu Deepfakes von iProov

Im November 2025 veröffentlichte MITRE ATLAS eine Fallstudie, in der Deepfake-Angriffe auf mobile KYC-Lebenszeichen-Erkennungssysteme (Know Your Customer) dokumentiert wurden. Laut einem Bericht von Mobile ID World richtete sich dieser Angriff gegen Banken, Finanzdienstleister und Kryptowährungsplattformen.

Verlauf der Angriffskette:

Aufklärung -> Ressourcenentwicklung -> Erster Zugriff -> Umgehung der Verteidigung -> Auswirkung

  1. Aufklärung: Angreifer sammelten Informationen zur Identität ihrer Ziele mithilfe von Social Engineering über Social-Media-Profile.
  2. Ressourcenentwicklung: Gegner haben sich KI-Tools zum Austausch von Gesichtern beschafft (Faceswap, Deep Live Cam).
  3. Erster Zugriff: Die virtuelle Kamera von OBS umging die Anforderungen an physische Kameras.
  4. Verteidigungsumgehung: KI-generierte Deepfakes haben Algorithmen zur Lebendigkeitserkennung überwunden.
  5. Auswirkung: Erfolgreiche betrügerische Kontoerstellung und Umgehung der Identitätsprüfung

Defensive Empfehlungen:

  • Implementierung einer multimodalen Verifizierung über die Gesichtserkennung hinaus
  • Gerätebescheinigung einsetzen, um virtuelle Kamera-Injektionen zu erkennen
  • Überwachen Sie biometrische Erfassungen auf Anzeichen synthetischer Medien.
  • Verbesserte Lebendigkeitserkennung mit Tiefenerfassung einrichten

Diese Fallstudie zeigt, wie Angreifer Social Engineering mit KI-Tools kombinieren, um Sicherheitskontrollen zu umgehen, was möglicherweise zu Datenverletzungen führen kann.

SesameOp AI agent backdoor case study (AML.CS0042)

The SesameOp case study, added to ATLAS in late 2025, documents a novel backdoor technique that leverages AI assistant APIs for command and control. Instead of building traditional C2 infrastructure, adversaries repurposed legitimate agent service APIs as covert control channels — blending malicious activity into normal AI workflows. This attack pattern maps to the new AI Service API technique (AML.0096) and demonstrates how agentic AI infrastructure creates command and control channels that evade conventional network detection.

Additional notable case studies (2025-2026)

ATLAS expanded from 33 to 42 case studies between October 2025 and February 2026. Notable additions include:

  • Financial Transaction Hijacking with M365 Copilot as an Insider — demonstrating how AI assistants can be exploited for unauthorized financial operations
  • Organization Confusion on Hugging Face — highlighting risks from model repository misuse in supply chain attacks
  • MCP Server Compromise (January 2026) — documenting attacks against Model Context Protocol infrastructure

Umgehung endpoint Cylance endpoint

Die HiddenLayer-Analyse der ATLAS-Fallstudie AML.CS0003 dokumentiert, wie Forscher ein ML-basiertes endpoint umgangen haben:

  • Angreifer verwendeten gegnerische Störungstechniken, um malware , die der Erkennung entging.
  • Der Angriff demonstrierte eine Modellumgehung ohne Kenntnis der zugrunde liegenden Modellarchitektur.
  • Zu den Defensivmaßnahmen gehören Modellvielfalt und Eingabevalidierung für ML-basierte Sicherheitstools.

Erkennen und Verhindern von KI-Bedrohungen

AI security threats require specialized detection approaches that go beyond traditional security controls. With AI-enabled adversary attacks surging 89% compared to prior years — up from a 72% increase in 2025 — organizations need proactive defense strategies.

Checkliste für die Sicherheit von KI:

  • [ ] Implementierung von Eingabevalidierung und -bereinigung für alle LLM-Interaktionen
  • [ ] Deploy prompt injection detection at the application layer
  • [ ] Herkunft und Integrität der Trainingsdaten überwachen
  • [ ] Überwachen Sie die Zugriffsmuster der Inferenz-API auf Anomalien.
  • [ ] Konfigurationen und Berechtigungen von KI-Agenten regelmäßig überprüfen
  • [ ] KI-spezifische Warnmeldungen in bestehende SOC-Workflows integrieren
  • [ ] Regelmäßige AI-Red-Team-Übungen mit Arsenal durchführen
  • [ ] AI-Bedrohungsinformationen abonnieren

Unternehmen sollten ihre Investitionen in KI-Sicherheit sowohl auf phishing (durch KI generiertes phishing rapide zu) als auch auf ransomware (KI ermöglicht komplexere Angriffe) abstimmen.

Prompt injection techniques in MITRE ATLAS (AML.0051)

Prompt injection is the most prominent ATLAS technique, cataloged as AML.0051 under the Initial Access tactic. Large language models face unique attack vectors that traditional security cannot address, and ATLAS catalogs these threats systematically.

Tabelle: LLM-Bedrohungstypen mit ATLAS-Zuordnung und Erkennungsmethoden

Art der Bedrohung ATLAS-Technik Erkennungsmethode Milderung
Direct prompt injection AML.0051.001 Eingabemusteranalyse Eingabesanitierung, Befehlshierarchie
Indirekte prompt injection AML.0051.002 Validierung der Inhaltsquelle Datenquellenkontrollen, Sandboxing
LLM-Jailbreaking AML.0051 Überwachung des Ausgabeverhaltens Leitplanken, Ausgangsfilterung
Manipulation des Kontextfensters AML.0051 Überwachung der Kontextlänge Kontextbeschränkungen, Zusammenfassung
RAG-Vergiftung AML.0060 Dokumentenintegritätsprüfungen Quellüberprüfung, Zugriffskontrollen

Aktuelle CVEs zeigen diese Bedrohungen in der Praxis:

  • CVE-2025-32711 (EchoLeak): According to Hack The Box analysis, this Microsoft Copilot vulnerability enabled zero-click data exfiltration through prompt injection combined with prompt reflection
  • CVE-2025-54135/54136 (CurXecute): Per BleepingComputer reporting, the Cursor IDE's MCP implementation allowed remote code execution via prompt injection

Funktionen zur Erkennung und Reaktion auf Identitätsbedrohungen helfen dabei, Versuche des Diebstahls von Anmeldedaten durch Ausnutzung von LLM zu erkennen.

Sicherheitsaspekte bei agentenbasierter KI

Das ATLAS-Update vom Oktober 2025 befasst sich speziell mit autonomen KI-Agenten – Systemen, die Aktionen ausführen, auf Tools zugreifen und den Kontext über mehrere Sitzungen hinweg beibehalten können. Zu den neuen Techniken gehören:

  • AML.0058 KI-Agent-Kontextvergiftung: Einschleusen von schädlichen Inhalten in den Speicher oder Thread-Kontext des Agenten
  • AML.0059 Aktivierungsauslöser: Einbettung von Triggern, die unter bestimmten Bedingungen aktiviert werden
  • AML.0060 Daten aus KI-Diensten: Extraktion von Informationen durch Abruf aus der RAG-Datenbank
  • AML.0061 KI-Agent-Tools: Missbrauch des Zugriffs auf Agent-Tools für böswillige Zwecke
  • AML.0062 Exfiltration über AI Agent Tool Invocation: Verwendung legitimer Tool-Aufrufe zum Extrahieren von Daten

Sicherheitsgrundsätze für KI-Agenten:

  1. Wenden Sie das Prinzip der geringsten Privilegien auf alle Berechtigungen für Agent-Tools an.
  2. Implementieren Sie Human-in-the-Loop für sensible Vorgänge.
  3. Überwachen Sie Änderungen an der Konfiguration des Agenten kontinuierlich.
  4. MCP-Serverkonfigurationen und -Verbindungen validieren
  5. Festlegen von Basiswerten für das Verhalten von Agenten zur Erkennung von Anomalien

Gemäß den AI/OT-Leitlinien der CISA vom Dezember 2025 sollten Unternehmen Überwachungs- und Ausfallsicherungen für alle KI-Systeme einbauen, die in kritischen Umgebungen betrieben werden.

MCP security and ATLAS technique mapping

The Model Context Protocol (MCP) — an open standard for connecting AI agents to external tools and data sources — introduces attack surfaces that ATLAS now explicitly addresses. MCP exploits allow adversaries to manipulate the tool-calling layer between AI agents and enterprise systems, bypassing traditional security controls.

ATLAS techniques relevant to MCP security include:

  • KI-Agent-Tools (AML.0061): Adversaries exploit MCP server configurations to invoke unauthorized tool actions or access restricted data
  • Exfiltration über AI Agent Tool Invocation (AML.0062): Attackers leverage legitimate MCP tool calls to extract sensitive data through sanctioned channels
  • Publish Poisoned AI Agent Tool (added February 2026): Adversaries create malicious versions of legitimate MCP tools that appear safe but execute harmful actions when invoked
  • AI Service API (AML.0096, added 2026): Exploiting AI orchestration APIs for stealthy command and control

The January 2026 ATLAS update (v5.3.0) added three new case studies specifically covering MCP server compromises, indirect prompt injection via MCP channels, and malicious AI agent deployment. Security teams should validate all MCP server configurations, restrict tool permissions to least privilege, and monitor tool invocation patterns for anomalies.

Moderne Ansätze für KI-Sicherheit

Die KI-Sicherheitslandschaft entwickelt sich rasant weiter, wobei regulatorischer Druck und die Zusammenarbeit der Branche die Einführung von Rahmenwerken vorantreiben. Unternehmen müssen sich sowohl auf neue Bedrohungen als auch auf Compliance-Anforderungen vorbereiten.

The MITRE Secure AI Program, supported by 16 member organizations including Microsoft and JPMorgan Chase, focuses on expanding ATLAS with real-world observations and expediting AI incident sharing.

Regulatorische Entwicklungen:

  • EU-KI-Gesetz: Die GPAI-Verpflichtungen (General Purpose AI) traten im August 2025 in Kraft und verlangen adversariale Tests für KI-Systeme mit systemischem Risiko sowie Cybersicherheitsschutz vor unbefugtem Zugriff.
  • CISA-Leitfaden: Die im Dezember 2025 veröffentlichte behördenübergreifende Publikation befasst sich mit der KI-Sicherheit in operativen Technologieumgebungen.

AI security threats continue to accelerate, with 87% of organizations reporting AI-powered cyberattack exposure and 92% expressing concern over agentic AI security implications according to industry research.

Wie Vectra AI KI-Sicherheitsbedrohungen Vectra AI

Vectra AI's Attack Signal Intelligence methodology applies behavior-based detection principles that align with ATLAS framework objectives. By focusing on attacker behaviors rather than static signatures, organizations can detect the techniques cataloged in ATLAS — from prompt injection attempts to data exfiltration via inference APIs — across hybrid cloud environments.

Dieser Ansatz ermöglicht es Sicherheitsteams, echte KI-bezogene Bedrohungen zu identifizieren und zu priorisieren und gleichzeitig die Anzahl der Fehlalarme zu reduzieren. Die Kombination aus Netzwerküberwachung und -reaktion mit der Erkennung von Identitätsbedrohungen sorgt für Transparenz über die gesamte Angriffsfläche, auf die KI-Bedrohungen heute abzielen.

Schlussfolgerung

MITRE ATLAS provides the structured approach organizations need to defend AI systems against sophisticated adversaries. With 16 tactics, 84 techniques, and continuous updates reflecting emerging threats like agentic AI attacks and MCP exploits, the framework delivers actionable intelligence for security teams.

The rapid expansion from 15 tactics in October 2025 to 16 tactics and 84 techniques by February 2026 demonstrates ATLAS's commitment to keeping pace with AI evolution. As AI-assisted attacks continue to surge and regulatory requirements like the EU AI Act take effect, organizations cannot afford to treat AI security as an afterthought.

Start with these immediate actions:

  1. Explore the ATLAS Navigator to understand framework structure
  2. Inventory your AI assets and map relevant techniques
  3. Assess current detection coverage against priority techniques
  4. Integrate ATLAS context into existing SOC workflows

For organizations seeking comprehensive AI security beyond framework adoption, Vectra AI's Attack Signal Intelligence provides behavior-based detection that identifies the adversary techniques ATLAS catalogs — enabling security teams to find and stop AI threats across hybrid environments.

Häufig gestellte Fragen

Was ist MITRE ATLAS?

Wie unterscheidet sich MITRE ATLAS von MITRE ATT&CK?

Wie viele Taktiken und Techniken gibt es in MITRE ATLAS?

What is prompt injection in MITRE ATLAS?

Wie verwende ich MITRE ATLAS für die Bedrohungsmodellierung?

Welche Tools bietet MITRE ATLAS?

Wie schneidet MITRE ATLAS im Vergleich zu OWASP LLM Top 10 ab?

What is the MITRE ATLAS adversarial ML knowledge base?

What are the MITRE ATLAS case studies?

How do I use ATLAS Navigator to export coverage layers?