MITRE ATLAS : matrice des attaques contre les systèmes d'IA

MITRE ATLAS (Adversarial Threat Landscape for Artificial Intelligence Systems) est, depuis 2020, la matrice de référence pour les attaques contre les systèmes IA. Construite sur la même structure que MITRE ATT&CK (le standard pour les attaques cyber traditionnelles), ATLAS catalogue les tactiques (objectifs intermédiaires de l'adversaire) et les techniques (méthodes pour les atteindre) spécifiques au ML/IA. Pour un threat model rigoureux d'un système IA en 2026, ATLAS est aussi incontournable qu'ATT&CK pour un système traditionnel — et les deux se complètent dans les architectures hybrides.

Cet article documente la structure d'ATLAS (tactiques + techniques), les entrées clés (AML.T0043, T0050, T0051, T0070, etc.), les mappings vers OWASP LLM/Agentic Top 10, l'ATLAS Navigator, et l'intégration dans threat model + red team + blue team + SOC. Pour le pendant OWASP : OWASP LLM Top 10 dev et OWASP Agentic AI Top 10.

Anatomie d'ATLAS : tactiques et techniques

ATLAS reprend la structure ATT&CK : la matrice est lue horizontalement par tactiques (colonnes) et verticalement par techniques (cellules). Chaque case = une technique adversariale spécifique applicable à cette tactique.

Les 14 tactiques ATLAS

Info — La tactique AI Model Access est spécifique à ATLAS — pas d'équivalent dans ATT&CK classique. Elle reflète la spécificité ML : un attaquant doit souvent accéder aux outputs/logits/poids avant d'attaquer effectivement.

Techniques ATLAS clés (sélection)

Une centaine de techniques sont cataloguées. Sélection des plus pertinentes pour LLM/agents 2026 :

Reconnaissance

• AML.T0000 Search Application Repositories — chercher modèles, datasets sur GitHub, Hugging Face.
• AML.T0002 Acquire Public ML Artifacts — télécharger modèles open source en vue d'attaque.

Resource Development

• AML.T0019 Publish Poisoned Datasets — publier des datasets compromis sur registres publics.
• AML.T0020 Poison Training Data — empoisonner données d'entraînement.

Initial Access / AI Model Access

• AML.T0040 Discover ML Model Family — déterminer architecture/famille du modèle cible.
• AML.T0049 Exploit Public-Facing Application — exploit classique sur application IA exposée.

Execution / Defense Evasion

• AML.T0043 Craft Adversarial Data — créer données adversariales (FGSM, PGD, C&W).
• AML.T0044 Craft Adversarial Examples — sous-technique image-spécifique.
• AML.T0051 LLM Prompt Injection — injection prompt directe.
• AML.T0054 LLM Jailbreak — bypass safety LLM (DAN, Crescendo, GCG, etc.).
• AML.T0070 RAG Poisoning / Indirect Prompt Injection — injection via documents retrieved.

Privilege Escalation / Persistence

• AML.T0050 Compromise AI Supply Chain — modèle, dataset, library compromis.
• AML.T0019 Publish Poisoned Datasets — persistance via training data.

Discovery / Collection

• AML.T0024 Exfiltration via ML Inference API — extraction via queries.
• AML.T0048 External Harms — impact direct utilisateur (manipulation, disinformation).

AI Attack Staging

• AML.T0046 Spamming AI System with Chaff Data — overload preprocessing.
• AML.T0029 Denial of ML Service — DoS spécifique IA.

Exfiltration

• AML.T0024 Exfiltration via ML Inference API — récupération données via queries.
• AML.T0025 Exfiltration via Cyber Means — exfil cyber classique sur système IA.

Impact

• AML.T0048 External Harms — impact réel sur utilisateurs/société.
• AML.T0048.001 Financial harm
• AML.T0048.002 Reputational harm
• AML.T0048.003 Societal harm

Mappings critiques

OWASP LLM Top 10 v2 ↔ ATLAS

OWASP Agentic AI Top 10 ↔ ATLAS

L'initiative MITRE/OWASP cross-mapping (en cours 2024-2026) standardise progressivement ces correspondances — surveiller pour mises à jour.

ATLAS Navigator

Web app interactive (gratuite, hébergée par MITRE ou self-hosted) qui permet :

• Visualiser la matrice complète.
• Sélectionner les techniques pertinentes pour votre système.
• Coloriser selon couverture défensive (vert = mitigé, rouge = non mitigé).
• Exporter en JSON pour intégration SIEM / threat model.

# ATLAS Navigator self-hosted (Docker)
docker run -p 8080:80 mitre/atlas-navigator:latest
 
# Ou utiliser l'instance hébergée : mitre-atlas.github.io/atlas-navigator/

Format d'export STIX/TAXII pour l'intégration aux plateformes de threat intelligence.

Utilisation pratique en 4 cas d'usage

Cas 1 — Threat modeling

Pour chaque composant IA de votre architecture, lister les techniques ATLAS applicables :

Architecture : RAG chatbot enterprise
Composants :
  - LLM Claude Sonnet 4.6 (API)         → AML.T0051, T0054, T0024
  - Vector DB Pinecone                   → AML.T0024 (extraction), T0070 (RAG poisoning)
  - Document ingestion pipeline          → AML.T0019, T0020, T0050
  - Tool calling (send_email, query_db)  → AML.T0049, T0048
  - Output rendering UI                  → AML.T0051 (markdown exfil — EchoLeak)
  - CI/CD ML                             → AML.T0050

Output : risk register par composant + technique applicable + mitigation actuelle + gap.

Cas 2 — Red team campaign planning

# Script de campagne red team mappé ATLAS
RED_TEAM_PLAN = {
    "AML.T0051": {  # Prompt Injection
        "test_cases": ["DAN", "Crescendo", "many-shot", "translation pivot"],
        "tools": ["Garak", "PyRIT", "manual"],
        "expected_signals": ["input filter alerts", "output anomaly"],
    },
    "AML.T0070": {  # Indirect Prompt Injection
        "test_cases": ["RAG poison doc", "web scraped poison", "email poison"],
        "tools": ["custom corpus"],
        "expected_signals": ["RAG isolation alerts", "drift monitor"],
    },
    "AML.T0024": {  # Exfiltration via ML Inference API
        "test_cases": ["membership inference baseline", "verbatim extraction"],
        "tools": ["mia-tools", "vec2text"],
        "expected_signals": ["volume anomaly", "extraction pattern"],
    },
    "AML.T0050": {  # Compromise AI Supply Chain
        "test_cases": ["picklescan on production models", "sigstore verification"],
        "tools": ["picklescan", "Trivy", "JFrog Xray"],
        "expected_signals": ["scanner alerts in CI"],
    },
    # ...
}
 
def execute_campaign(plan, target_system):
    results = {}
    for technique_id, config in plan.items():
        for case in config["test_cases"]:
            outcome = run_test(target_system, case)
            results[(technique_id, case)] = {
                "outcome": outcome,
                "detected": check_detection(target_system, config["expected_signals"]),
            }
    return results

Cas 3 — Blue team / SOC coverage

Pour chaque technique ATLAS pertinente, vérifier que vous avez une détection ou mitigation :

Technique           Détection                              Mitigation
─────────────────   ─────────────────────────────────────  ────────────────────
AML.T0051           Lakera Guard input filter (>0.7 score) System prompt durci
AML.T0070           Sanitization pipeline ingestion        Tag chunks par sensibilité
AML.T0024           Volume / diversité monitoring          Rate limiting progressif
AML.T0050           picklescan + Trivy CI                  Mirror interne + sigstore
AML.T0029           LimitGuard + circuit breaker           Cost cap + monitoring
AML.T0048.003       Output filter + grounding              Citations + drift detect

Gap = case rouge dans la matrice → priorité d'investissement.

Cas 4 — Reporting d'incidents

Quand un incident survient, l'attribuer à une technique ATLAS spécifique facilite :

• Le partage avec la communauté (référence standard).
• La comparaison avec d'autres incidents publics.
• L'enrichissement du threat model.
• La mise à jour des mitigations.

Format reporting type :

incident_id: INC-2026-0042
date: 2026-04-29
atlas_techniques:
  - AML.T0070  # Indirect Prompt Injection
  - AML.T0024  # Exfiltration via ML Inference API
description: |
  Email piégé exfiltré données via Markdown image
  (pattern EchoLeak-class).
detection:
  - Output filter blocked at attempt 3 of 5.
  - Earlier 2 attempts succeeded — gap identified in tenant_b.
mitigations_applied:
  - Disabled markdown image rendering globally.
  - Added canary doc tenant_b for early detection.
  - Updated detection rule to flag output URL diversity.

Intégration aux outils SOC / SIEM

SIEM rules referencing ATLAS

# Splunk/Sentinel rule example
title: "Possible AML.T0051 Prompt Injection"
detection:
  source: llm-app-logs
  conditions:
    - input_classifier_score > 0.7
    - OR canary_token in output
mitre_atlas:
  - AML.T0051
severity: medium
runbook: ./runbooks/aml-t0051.md

Threat intelligence platforms

ATLAS supporte les exports STIX 2.1 / TAXII pour intégration aux TIP (MISP, OpenCTI, ThreatConnect, Anomali).

# Exemple : query MISP pour techniques ATLAS observées récemment
from pymisp import PyMISP
 
misp = PyMISP("https://misp.internal", api_key, ssl=True)
events = misp.search(
    controller='events',
    galaxies=['mitre-atlas:adversarial-machine-learning'],
    publish_timestamp='30d',
)

Roadmap d'adoption ATLAS

Niveau 1 — Sensibilisation (semaines 1-4)

• Lecture d'ATLAS par l'équipe sécurité IA.
• Mapping rapide des composants existants aux techniques applicables.
• Identification des 5-10 techniques prioritaires pour votre architecture.

Niveau 2 — Threat model formalisé (mois 2-3)

• ATLAS Navigator avec couverture défensive coloriée.
• Risk register documenté avec techniques + mitigations + gaps.
• Alignement avec OWASP LLM/Agentic Top 10.

Niveau 3 — Intégration opérationnelle (mois 3-6)

• Règles SIEM référencent ATLAS techniques.
• Red team campaigns structurées par ATLAS.
• Reporting incidents en référence ATLAS.

Niveau 4 — Maturité avancée (6+ mois)

• Cross-mapping ATT&CK + ATLAS pour systèmes hybrides.
• Threat intelligence enrichi avec galaxies ATLAS.
• Contribution à la communauté (PR sur ATLAS pour techniques émergentes).
• Audits externes avec coverage ATLAS comme métrique.

Évolution attendue 2026-2027

• Nouvelles techniques : MCP-specific (déjà en discussion), agentic AI threats (T01-T15 intégration), multi-modal expansion.
• Sub-techniques affinées : variantes de jailbreak (Crescendo, GCG, AutoDAN nommées explicitement).
• Mappings standardisés : initiative MITRE/OWASP cross-mapping vers stabilité.
• ATLAS Evaluations (similaire ATT&CK Evaluations) : tests indépendants vendor SOC sur couverture ATLAS.
• Intégration EU AI Act : référence ATLAS dans les delegated acts pour systèmes haute-risque.

Limites d'ATLAS

À connaître pour ne pas surinvestir :

• Tempo de mise à jour plus lent que la recherche académique. Techniques publiées sur arXiv prennent ~6-12 mois pour entrer dans ATLAS.
• Couverture inégale : certaines tactiques (Reconnaissance, Discovery) sont moins riches que les tactiques "cœur ML" (AI Attack Staging, Defense Evasion).
• Adoption SOC encore inégale : matures intègrent, moins matures restent sur ATT&CK seul.
• Pas de prescription de mitigation détaillée (contrairement à ATT&CK qui a un catalogue M*** mature) — le catalogue AML.M* existe mais moins étoffé.

Ces limites se réduisent avec le temps. ATLAS suit la trajectoire d'ATT&CK 2015-2018 — adoption progressive, maturation des contenus, intégration aux outils.

Mapping conformité

NIST AI RMF

• Map : threat model utilisant ATLAS comme catalogue.
• Measure : couverture ATLAS comme métrique de maturité.

EU AI Act

• Article 9 — gestion des risques : ATLAS comme référentiel.
• Article 15 — robustesse cybersécurité : techniques ATLAS comme référence.

ISO 27001 / 42001

• ATLAS référencé comme threat catalog standard.

Points clés à retenir

• MITRE ATLAS = matrice tactiques/techniques spécifique aux systèmes IA, structure identique à MITRE ATT&CK pour faciliter l'adoption.
• 14 tactiques + ~100 techniques. Format AML.T<ID> (ex : AML.T0051 Prompt Injection, AML.T0050 Compromise AI Supply Chain, AML.T0070 Indirect Prompt Injection).
• Tactique spécifique à ATLAS : AI Model Access (récupérer outputs/logits/poids) — pas d'équivalent ATT&CK.
• Techniques majeures à connaître : AML.T0019/T0020 (poisoning), AML.T0024 (exfil via API), AML.T0029 (DoS ML), AML.T0043/T0044 (adversarial), AML.T0050 (supply chain), AML.T0051/T0054/T0070 (prompt injection + jailbreak + RAG poisoning).
• 4 cas d'usage : threat modeling, red team campaigns, blue team / SOC coverage, reporting incidents.
• Outils : ATLAS Navigator (web app gratuite, exports STIX/TAXII), intégration SIEM (Splunk, Sentinel, Elastic) et TIP (MISP, OpenCTI).
• Mapping OWASP LLM/Agentic Top 10 ↔ ATLAS disponible et standardisé via initiative MITRE/OWASP cross.
• Roadmap d'adoption en 4 niveaux : sensibilisation → threat model formalisé → intégration opérationnelle → maturité avancée.
• Limites actuelles : tempo MAJ plus lent que recherche, catalogue mitigations AML.M*** moins étoffé, adoption SOC inégale.
• Évolution 2026-2027 : nouvelles techniques MCP/agentic, ATLAS Evaluations, intégration EU AI Act.

MITRE ATLAS est aujourd'hui le standard de référence pour structurer un threat model IA. Pour les organisations qui ont déjà adopté ATT&CK, l'extension à ATLAS demande peu de friction et apporte beaucoup. Pour celles qui démarrent leur sécurité IA, ATLAS + OWASP LLM/Agentic Top 10 forment un duo référentiel suffisant pour structurer les premiers 12-18 mois d'effort.