Técnicas Específicas de Ameaças com IA (ATLAS)

Nota do capítulo 20, dedicado às atualizações do MITRE ATT&CK. Trata da
convergência entre o MITRE ATLAS e o ATT&CK a partir da v19 de abril de 2026,
quando as primeiras técnicas de ameaças com IA entraram no corpo principal do
Enterprise. Dialoga com as notas de ameaças a sistemas de IA do capítulo 17 e
prepara o terreno para o monitoramento de agentes e gateways de LLM.

1. Contexto e Posicionamento na Biblioteca

O MITRE ATLAS, Adversary Threat Landscape for Artificial-Intelligence Systems, existe desde 2020 como matriz dedicada a ameaças contra sistemas de IA e de aprendizado de máquina, com estrutura de táticas e técnicas análoga à do ATT&CK e identificadores no formato AML. Durante anos, as duas matrizes viveram em mundos separados: o ATT&CK descrevia o adversário corporativo clássico, e o ATLAS descrevia o adversário de pipelines de dados e de modelos. A v19 de abril de 2026 marcou o início da convergência, ao inserir técnicas de ameaças com IA diretamente no corpo principal do Enterprise, reconhecendo que o uso de serviços de IA virou parte do comportamento ordinário do adversário em intrusões.

Na biblioteca, esta nota fecha o capítulo 20 e faz ponte com o capítulo 17, especialmente com as notas de Técnicas ATLAS do MITRE, de Prompt Injection e Manipulação de Modelos e de Guardrails e Proteção de Agentes Autônomos. O papel aqui é o de atualização taxonômica: o que mudou no ATT&CK, o que permanece no ATLAS, e como montar telemetria e detecção para o recorte de abuso de agentes, que é o padrão mais urgente para ambientes que adotaram assistentes com acesso a ferramentas.

2. ATLAS e ATT&CK: Duas Matrizes em Convergência

O ATLAS permanece como a matriz dedicada, cobrindo o ciclo de ameaças específico de IA, do reconhecimento de infraestrutura de aprendizado à manipulação de modelos e à exfiltração via interfaces de inferência, com cerca de 16 táticas, 84 técnicas e 56 sub-técnicas na contagem divulgada em 2026. O ATT&CK, por sua vez, começou a absorver os recortes que interessam ao adversário geral: a v19 adicionou ao Enterprise as técnicas Query Public AI Services (T1682), Generate Content (T1683), com as sub-técnicas Written Content (T1683.001) e Audio-Visual Content (T1683.002), e Social Engineering (T1684), com Impersonation (T1684.001) e Email Spoofing (T1684.002). A lógica da absorção é pragmática: essas técnicas descrevem comportamentos que se manifestam em qualquer intrusão, use ou não o adversário infraestrutura de IA sofisticada.

A divisão de trabalho resultante é orientada pelo alvo. Quando o sistema de IA é o instrumento do adversário, como gerar conteúdo de phishing com T1683 ou consultar serviços públicos de IA para reconhecimento e desenvolvimento de capacidades com T1682, a técnica vive no ATT&CK e a detecção acontece nas mesmas fontes corporativas de sempre. Quando o sistema de IA é o alvo do adversário, como manipular um modelo, envenenar dados de treinamento ou exfiltrar via API de inferência, a técnica vive no ATLAS, e a detecção depende de telemetria específica de plataformas de IA. A tabela abaixo resume essa divisão, que orienta onde buscar orientação de detecção.

3. As Técnicas Novas do ATT&CK em Detalhe

Query Public AI Services (T1682) descreve o uso de serviços públicos de IA pelo adversário durante reconhecimento e desenvolvimento de capacidades: formular exploits, traduzir código, elaborar perfis de vítimas ou gerar variantes de infraestrutura. A técnica é de difícil detecção direta, porque a consulta acontece em serviços externos, e o sinal corporativo é indireto: tráfego anômalo para gateways de IA a partir de contas de engenharia, ou presença de artefatos que denunciam proveniência de modelo generativo. Generate Content (T1683) cobre a geração de conteúdo escrito e audiovisual pelo adversário, e o valor para o defensor está na leitura combinada com Social Engineering (T1684): conteúdo sintético de alta qualidade alimenta impersonação e spoofing com custo marginal baixo, o que amplia o volume e a qualidade de campanhas que antes dependiam de redação manual.

O relato de operações orquestradas com IA descritas por pesquisadores e fornecedores ao longo de 2025 e 2026, incluindo campanhas de espionagem conduzidas com agentes de código e deepfakes em ataques corporativos, mostra o padrão em produção e está documentado nas notas de AI-Orchestrated Attacks do capítulo 17. Para o mapeamento de CTI, a recomendação é registrar esses comportamentos com os novos identificadores do ATT&CK e, em paralelo, manter o recorte técnico no ATLAS, garantindo que relatórios falem a língua das duas matrizes sem duplicar esforço de análise.

A tabela abaixo detalha as adições da v19 no Enterprise com a leitura defensiva de cada uma. Esse é o recorte que deve entrar na próxima revisão do inventário de detecções de times que já monitoram engenharia social e desenvolvimento de capacidades do adversário.

4. O Recorte ATLAS que Não Foi para o ATT&CK

O núcleo técnico de ataques a sistemas de IA permanece no ATLAS, e conhecê-lo é pré-requisito para proteger plataformas de IA em produção. A matriz organiza o ciclo de ameaças em táticas próprias, de reconhecimento de infraestrutura de aprendizado a impacto sobre modelos e sistemas, e as técnicas mais relevantes para ambientes corporativos são as de acesso e exfiltração via interfaces de inferência, manipulação de dados de treinamento e evasão de modelos. A exfiltração via API de inferência, AML.T0024, é o exemplo canônico: consultas aparentemente legítimas ao modelo podem recuperar informações de treinamento ou dados sensíveis do contexto, e a detecção depende de padrões de volume e de repetição no gateway, não de content inspection trivial.

Para plataformas com agentes, o ATLAS também cataloga comportamentos de evasão de guardrails e de abuso de capacidades de execução, que complementam a leitura do ATT&CK sobre execution e lateral movement. A recomendação prática é mapear os ativos de IA da organização, modelos treinados, aplicações com RAG e agentes com ferramentas, e atribuir a cada um o conjunto de técnicas ATLAS aplicáveis, da mesma forma que se faz com sistemas corporativos na matriz principal. Esse mapeamento alimenta o mesmo inventário de detecção e recebe a mesma rastreabilidade de versão exigida neste capítulo.

5. Telemetria de Sistemas de IA

A telemetria do recorte de IA tem três camadas. A primeira é o gateway de inferência, o ponto único por onde passam chamadas a modelos, com registro de usuário, aplicação, modelo, prompt em versão resumida ou hasheada por privacidade, tokens consumidos e ferramentas invocadas. A segunda é o log do agente, que registra a cadeia de raciocínio e as ações executadas: qual função foi chamada, com quais argumentos, sobre quais sistemas e com que resultado. A terceira é a telemetria da plataforma de IA, incluindo registro de modelos, controle de acesso à API de inferência e logs do runtime de agentes. Sem essas três camadas, nem ATT&CK nem ATLAS produzem detecção concreta nesse domínio.

A tabela abaixo organiza as fontes por recorte de detecção e indica o tipo de sinal que cada uma sustenta. Ela deve ser lida junto com o inventário de DAT.1 do Framework CTH, porque o erro clássico é ter contratos de IA em produção sem nenhuma dessas fontes no SIEM.

O desenho da coleta deve nascer com privacidade embutida, e não remendada depois. A prática recomendada é registrar prompts por resumo estruturado, hash ou amostragem controlada, guardar o integral apenas quando houver investigação aberta e com base legal declarada, e restringir acesso ao log de interações como dado sensível, nos termos da nota de Privacidade do capítulo 12. Essa decisão de desenho evita que a própria fonte de detecção se torne o principal risco do programa de IA.

6. Exemplo de Detecção de Abuso de Agente

O abuso de agente é o cenário que mais pede detecção imediata: um agente legítimo, com permissão de ler sistemas e executar ferramentas, é induzido por prompt malicioso, no padrão estudado na nota de Prompt Injection do capítulo 17, a agir fora do propósito original, por exemplo, varrer repositórios de documentos e enviar o conteúdo para um destino externo. A hipótese de caça é: se um agente corporativo com acesso a ferramentas for induzido por conteúdo malicioso, então sua cadeia de chamadas de ferramenta mostrará sequência incompatível com a tarefa declarada, com leitura volumosa seguida de envio externo ou de escrita em local inusitado.

LLMGatewayLogs
| where TimeGenerated > ago(7d)
| where isnotempty(ToolName)
| summarize Chamadas = count(),
            Ferramentas = dcount(ToolName),
            LeituraDocs = countif(ToolName in ("read_document", "search_files")),
            EnvioExterno = countif(ToolName in ("send_http", "upload_file"))
            by SessionId, AgentName, UserId, bin(TimeGenerated, 1h)
| where LeituraDocs >= 20 and EnvioExterno >= 1
| extend RacionalLimitado = Chamadas <= (LeituraDocs + EnvioExterno)
| where RacionalLimitado
| project TimeGenerated, SessionId, AgentName, UserId, LeituraDocs,
          EnvioExterno, Chamadas
| order by EnvioExterno desc

A lógica da consulta captura a assinatura comportamental do abuso: muitos documentos lidos, pelo menos um envio para fora e pouca atividade que não seja leitura e envio, o que indica tarefa de exfiltração em vez de trabalho analítico legítimo. O enriquecimento seguinte é inspecionar o resumo do prompt e o destino do envio, com atenção a privacidade, e correlacionar com o log do agente para recuperar os argumentos completos das chamadas. O resultado positivo é mapeado no ATLAS para o recorte de abuso e exfiltração, e no ATT&CK para os recortes de collection e exfiltration envolvidos, mantendo o relatório bilíngue entre as matrizes.

A detecção de entrada do abuso complementa a detecção de comportamento: o padrão de prompt injection geralmente aparece no gateway como prompt com instruções imperativas vindo de conteúdo ingerido, e não do usuário legítimo. O esqueleto abaixo, em formato Sigma sobre logs de gateway, modela o sinal de ferramenta de busca retornando instruções de exfiltração para o contexto do agente, vetor típico de infecção indireta via documentos ou páginas.

title: Instrucoes de exfiltracao em conteudo ingerido por agente
logsource:
    product: llm_gateway
    service: interactions
detection:
    fonte_externa:
        prompt_source: 'tool_result'
        tool_name:
            - 'search_files'
            - 'fetch_url'
    padrao_injecao:
        prompt_summary|contains:
            - 'envie para'
            - 'forward to'
            - 'export to'
    condition: fonte_externa and padrao_injecao
tags:
    - atlas.agent_abuse
    - attack.exfiltration

Após o alerta, o roteiro de investigação tem quatro passos: confirmar no log do agente se a instrução injetada foi executada; recuperar os argumentos das chamadas de ferramenta envolvidas; determinar o destino do envio e classificar a exposição; e correlacionar a origem do conteúdo injetado com o sistema que o forneceu, para contenção do vetor de entrada. O registro da caça usa o mesmo formato da biblioteca, com técnica, evidência, veredicto e ações de acompanhamento.

7. Erros Comuns e Pontos de Atenção

O erro mais comum é tratar ameaças com IA como categoria separada do programa de detecção, criando um cilindro exclusivo que não conversa com o inventário de ATT&CK; a recomendação é integrar os identificadores do recorte ao mesmo inventário, com a mesma disciplina de versão. O segundo erro é registrar prompts integrais em log sem política de privacidade, criando um alvo de exfiltração dentro do próprio SIEM, o que é especialmente delicado com dados pessoais protegidos pela LGPD, assunto tratado na nota de Privacidade do capítulo 12. O terceiro erro é presumir que guardrails do provedor resolvem o problema; guardrails reduzem frequência de certos abusos, mas não substituem telemetria própria e detecção de cadeia de ferramentas.

Cuidado também com a atribuição de intenção a conteúdo sintético: detectar que um texto foi gerado por modelo não implica atividade maliciosa, e alertas baseados em proveniência de conteúdo tendem a ruído alto. O sinal confiável está no comportamento ao redor do conteúdo, como volume, destinos e sequência de ferramentas, e não no texto em si. Por fim, registre no inventário qual versão das duas matrizes foi usada no mapeamento, porque ambos os vocabulários evoluem rápido e a convergência entre eles ainda está em construção.

Um ponto adicional de atenção é o ciclo de vida dos logs de IA: gateways e runtimes de agentes mudam de fornecedor com frequência, e migrações de plataforma podem apagar telemetria histórica sem aviso. A política de retenção definida para esses logs deve tratar o gateway e o runtime do agente como fonte de evidência de segurança, com exportação contínua para o SIEM, e não como dado operacional restrito à plataforma que os gera.

8. Integração com o Restante da Biblioteca

Esta nota encerra o capítulo 20 amarrando a atualização taxonômica à prática já estabelecida nos capítulos 17 e 12 da biblioteca. As leituras em par são obrigatórias: Técnicas ATLAS do MITRE para a matriz completa, Prompt Injection e Manipulação de Modelos para o vetor de entrada, Guardrails e Proteção de Agentes para os controles, e FAMOUS CHOLLIMA e Campanha Anthropic para os casos públicos que motivaram a absorção das técnicas pelo ATT&CK. No Framework CTH, o recorte alimenta PRT.4 no monitoramento de plataformas modernas e MAP.1 no mapeamento de controles para técnicas novas.

O exercício final do capítulo é composto: mapear os serviços de IA em uso na organização contra a tabela de telemetria da seção 5, implementar ou confirmar as três camadas de coleta, e rodar a caça de abuso de agente da seção 6 com janela de trinta dias. O resultado, positivo ou negativo, entra no repositório de caças com as técnicas das duas matrizes anotadas, fechando o ciclo que este capítulo estabeleceu entre releases do ATT&CK, telemetria e prática de caça.

Com o capítulo completo, o leitor tem o roteiro de três versões: a v18 refez a parte defensiva dos dados, a v19 refez a taxonomia de evasão e iniciou o recorte de IA, e a v19.2 mostrou o ritmo ágil de atualização de ameaça. Esse roteiro é o fundamento para as próximas releases, cuja incorporação deve seguir o playbook consolidado na nota de Impactos nos Mapeamentos e Ferramentas de Detecção.