Infrastructures IA/ML, grands modèles de langage, pipelines MLOps et environnements d'exécution d'agents Le score HASS évalue la surface d'attaque non mitigée recensée dans ATLAS à 88/100 (CRITIQUE). Contrairement aux failles logicielles classiques qui ciblent des corruptions de mémoire ou des erreurs de logique déterministes, les attaques ciblant l'IA exploitent la nature probabiliste des représentations neurales, les pipelines de données et la délégation sémantique d'outils.
Depuis plus d’une décennie, les opérations de cybersécurité s’appuient sur le cadre MITRE ATT&CK®. ATT&CK a transformé la posture défensive en répertoriant les comportements réels des attaquants face aux systèmes d’exploitation, aux réseaux, aux fournisseurs d’identité et aux hyperviseurs.
Cependant, le déploiement massif de l’apprentissage automatique (ML), des grands modèles de langage (LLM) et des essaims d’agents autonomes a introduit une classe de vulnérabilités inédites qu’ATT&CK n’a jamais été conçu pour traiter :
si/alors). Les réseaux de neurones calculent des distributions de probabilité continues sur des jetons ou des vecteurs latents de haute dimension. L’attaquant manipule ces distributions par des perturbations sémantiques plutôt que par des charges binaires exécutables.Pour combler cet angle mort, la MITRE Corporation a conçu MITRE ATLAS™ (Adversarial Threat Landscape for Artificial-Intelligence Systems). Élaboré selon la structure matricielle éprouvée d’ATT&CK, ATLAS fournit une taxonomie empirique et standardisée des tactiques, techniques et cas réels d’attaque ciblant les systèmes d’IA sur l’ensemble de leur cycle de vie.
Bien que MITRE ATT&CK et MITRE ATLAS partagent la même philosophie fondamentale — organiser le comportement adverse en objectifs tactiques (« pourquoi ») et techniques spécifiques (« comment ») — leurs champs opérationnels divergent profondément :
| Dimension architecturale | MITRE ATT&CK® (Entreprise) | MITRE ATLAS™ (IA/ML) |
|---|---|---|
| Substrat ciblé | Systèmes d’exploitation, piles réseau, IAM cloud, conteneurs, micrologiciels | Corpus d’entraînement, poids de modèles, plongements vectoriels, contextes de prompt |
| Mécanisme d’exécution | Instructions binaires déterministes (appels système, shell, injection DLL) | Génération de jetons probabiliste, orientation des têtes d’attention, optimisation par gradient |
| Vecteur d’exploitation | Défauts logiciels, erreurs logiques, corruptions mémoire (débordements, RCE) | Injections de prompt sémantiques, empoisonnement de données, exemples adverses, inversion de modèle |
| Support de persistance | Clés de registre Run, tâches planifiées, cron jobs, services de démarrage, WMI | Fragments de mémoire vectorielle empoisonnés, déclencheurs dérobés dans les poids, jeux d’ajustement altérés |
| Préfixe d’identification | T#### (ex. : T1059 Command and Scripting Interpreter) | AML.T#### (ex. : AML.T0051 LLM Prompt Injection) |
La matrice ATLAS structure les actions hostiles selon 14 étapes tactiques retraçant le cycle d’attaque complet contre un système d’intelligence artificielle :
┌────────────────────────────────────────────────────────────────────────────────────────────────────────┐│ Cycle tactique de MITRE ATLAS │└───────────────────────────────────────────────────┬────────────────────────────────────────────────────┘ │ ┌──────────────────────┐ ┌──────────────────────┐ ┌──────────────────────┐ ┌──────────────────────┐ │ 1. Reconnaissance │──>│ 2. Dév. de ressources│──>│ 3. Accès initial │──>│ 4. Préparation ML │ │ (AML.TA0002) │ │ (AML.TA0003) │ │ (AML.TA0004) │ │ (AML.TA0005) │ └──────────────────────┘ └──────────────────────┘ └──────────────────────┘ └──────────────────────┘ │ ┌──────────────────────┐ ┌──────────────────────┐ ┌──────────────────────┐ ▼ │ 8. Évasion de défense│<──│ 7. Élévation privil. │<──│ 6. Persistance │<──┌──────────────────────┐ │ (AML.TA0009) │ │ (AML.TA0008) │ │ (AML.TA0007) │ │ 5. Exécution │ └──────────┬───────────┘ └──────────────────────┘ └──────────────────────┘ │ (AML.TA0006) │ │ └──────────────────────┘ ▼ ┌──────────────────────┐ ┌──────────────────────┐ ┌──────────────────────┐ ┌──────────────────────┐ │ 9. Accès identifiants│──>│ 10. Découverte │──>│ 11. Mouvement latéral│──>│ 12. Collecte │ │ (AML.TA0010) │ │ (AML.TA0011) │ │ (AML.TA0012) │ │ (AML.TA0013) │ └──────────────────────┘ └──────────────────────┘ └──────────────────────┘ └──────────┬───────────┘ │ ┌──────────────────────┐ ┌──────────▼───────────┐ │ 14. Impact │<──│ 13. Exfiltration │ │ (AML.TA0015) │ │ (AML.TA0014) │ └──────────────────────┘ └──────────────────────┘AML.TA0002) : collecte d’informations sur l’architecture du système d’IA cible, les familles de modèles (GPT, Claude, Llama), les corpus d’entraînement, les limites d’API et les filtres de sécurité.AML.TA0003) : acquisition de modèles substituts pour optimiser des gradients hors ligne, achat de données toxiques ou location de grappes GPU pour forger des jetons déclencheurs.AML.TA0004) : prise de contact initiale via les interfaces de chat publiques, les assistants de messagerie, les portails de téléversement multimodal ou des passerelles d’API non sécurisées.AML.TA0005) : confection d’entrées adverses, élaboration de phrases déclencheuses, calcul de collisions de plongements vectoriels ou chaînage d’injections complexes.AML.TA0006) : déclenchement d’actions non autorisées par l’intermédiaire du système d’IA, y compris l’interprétation de code hostile, la désérialisation non sécurisée de modèles (RCE via PyTorch/Pickle) ou l’émission d’appels d’outils d’agents.AML.TA0007) : implantation de déclencheurs dormants dans les bases de données vectorielles (démontrée dans AgentPoison / arXiv:2407.12784), les points de contrôle d’apprentissage ou les caches d’historique de conversation.AML.TA0008) : évasion du rôle d’utilisateur standard dans la conversation pour obtenir l’exécution d’actions réservées à l’administrateur ou accéder aux clés d’API internes.AML.TA0009) : contournement des filtres de contenu, de l’alignement de sécurité (RLHF) et des pare-feu de prompt par substitution de caractères, encodage base64 ou obfuscation linguistique.AML.TA0010) : extraction de clés d’API intégrées au système, de jetons de bases vectorielles ou de secrets d’entreprise dissimulés dans les prompts ou le contexte extrait.AML.TA0011) : sondage des instructions système du modèle, énumération des outils MCP connectés, cartographie des collections vectorielles et des agents subordonnés.AML.TA0012) : pivot depuis un agent public non fiable vers un agent d’orchestration disposant de privilèges étendus au sein d’architectures multi-agents (LangGraph, AutoGen, CrewAI).AML.TA0013) : aspiration de la logique métier, d’informations personnelles identifiables (PII) dans les historiques d’échanges ou de documents d’entreprise sensibles récupérés via RAG.AML.TA0014) : vol de poids de modèles propriétaires, extraction de corpus synthétiques ou attaques par inversion de modèle visant à reconstituer des données d’apprentissage privées.AML.TA0015) : altération de l’intégrité décisionnelle, déni de service algorithmique (attaques par épuisement de ressources / Sponge Attacks), dégradation volontaire de la précision ou dommages cinétiques dans le monde réel.ATLAS répertorie plus de 60 techniques identifiées par le préfixe AML.T####. À l’ère des agents autonomes et des modèles génératifs, plusieurs techniques représentent les vecteurs prioritaires d’intrusion en entreprise :
Aml.t0051 : injection de prompt LLM
L’adversaire manipule le comportement du LLM par des entrées textuelles ciblées. La technique se subdivise en injection directe (le prompt utilisateur écrase les consignes système) et injection indirecte (AML.T0051.001) où les instructions hostiles proviennent de données tierces (pages web, e-mails, fichiers PDF). Documenté dans Hermes : AAP-001 et AAP-002.
Aml.t0054 : jailbreak de LLM
Contournement des garde-fous de sécurité, de l’alignement et des politiques système par cadrage adverse, jeu de rôle hypothétique ou optimisation au niveau des jetons (AttnGCG) pour extraire des contenus interdits. Documenté dans Hermes : Couche d’alignement & jailbreaks RLHF.
Aml.t0043 : empoisonnement de données
Corruption des données ingérées lors du pré-entraînement, de l’ajustement fin ou de la récupération dynamique RAG afin d’introduire des biais déterministes ou d’implanter des portes dérobées dormantes. Documenté dans Hermes : AAP-005 et l’étude AgentPoison.
Aml.t0053 : compromission d'outils et greffons LLM
L’adversaire pousse le LLM à déclencher des appels d’outils non autorisés ou manipule les paramètres structurés transmis aux commandes système, bases SQL ou passerelles MCP. Documenté dans Hermes : AAP-003 : altération des paramètres d’outils.
Les retours d’expérience de CrowdStrike et de Vectra AI soulignent qu’un référentiel de renseignement sur les menaces ne prend toute sa valeur que s’il est intégré aux règles de détection et aux procédures de tri du Centre Opérationnel de Sécurité (SOC).
Dans ses analyses de sécurité, CrowdStrike rappelle que les attaques contre les systèmes d’IA ne surviennent pas en vase clos. Un adversaire n’attaque que rarement un modèle de manière isolée ; il met en œuvre des chaînes d’attaque hybrides articulant l’IT traditionnelle et l’IA :
AML.T0043 (empoisonnement de données) ou AML.T0024 (exfiltration de modèle) pour manipuler les décisions ou voler la propriété intellectuelle.Vectra AI met l’accent sur la surveillance en temps réel des déploiements d’IA, rappelant que l’inspection statique de texte est inopérante face aux menaces cognitives avancées :
AML.M####)À chaque technique hostile, ATLAS associe des mesures d’atténuation architecturales et défensives :
AML.M1001) : déployer des contrôles de validation, des filtres de perplexité et des classifieurs sémantiques pour identifier les motifs de jailbreak et les perturbations avant traitement par le cœur du modèle.AML.M1004) : appliquer une authentification rigoureuse, du mTLS et une limitation stricte des débits (rate limiting) sur toutes les API d’inférence afin d’entraver l’extraction de modèle et le sondage automatisé.AML.M1012) : signer cryptographiquement et hacher chaque document ingéré dans les bases RAG. Imposer un consensus à double moteur de recherche (dense et lexical BM25) pour neutraliser les attaques par collision vectorielle.AML.M1016) : confiner les outils des agents au sein de bacs à sable légers (Wasm, gVisor) dotés de systèmes de fichiers immuables en lecture seule et de schémas JSON stricts interdisant les paramètres libres.AML.M1015) : soumettre les réponses générées et les ordres d’exécution d’outils à des agents de vérification indépendants ou à des règles déterministes avant toute modification d’état sur les systèmes sous-jacents.Les SOC modernes doivent traduire les techniques ATLAS en règles de détection et requêtes de télémétrie exploitables.
"""Normalisateur de télémétrie ATLAS pour Hermes Codex.Associe les événements d'exécution d'agents IA aux tactiques et techniquesdu référentiel MITRE ATLAS pour ingestion dans un SIEM/XDR."""
from typing import Dict, Any, Optionalfrom datetime import datetime, timezone
ATLAS_MAPPING = { "prompt_override_attempt": { "tactic": "AML.TA0004", "technique": "AML.T0051", "technique_name": "LLM Prompt Injection", "severity": "HIGH" }, "jailbreak_pattern_detected": { "tactic": "AML.TA0009", "technique": "AML.T0054", "technique_name": "LLM Jailbreak", "severity": "CRITICAL" }, "vector_store_drift_anomaly": { "tactic": "AML.TA0007", "technique": "AML.T0043", "technique_name": "Data Poisoning", "severity": "CRITICAL" }, "unauthorized_tool_invocation": { "tactic": "AML.TA0006", "technique": "AML.T0053", "technique_name": "LLM Plugin Compromise", "severity": "EXTREME" }}
def generate_atlas_alert(event_type: str, raw_payload: Dict[str, Any]) -> Optional[Dict[str, Any]]: if event_type not in ATLAS_MAPPING: return None
meta = ATLAS_MAPPING[event_type] return { "timestamp": datetime.now(timezone.utc).isoformat(), "framework": "MITRE_ATLAS", "tactic_id": meta["tactic"], "technique_id": meta["technique"], "technique_name": meta["technique_name"], "severity": meta["severity"], "model_id": raw_payload.get("model_id", "unknown"), "session_id": raw_payload.get("session_id", "anonymous"), "telemetry_detail": raw_payload.get("details", {}) }// Détection des techniques AML.T0051 (Prompt Injection) et AML.T0053 (Compromission d'outils) sous Azure OpenAIlet timeframe = 1d;AzureDiagnostics| where TimeGenerated >= ago(timeframe)| where ResourceProvider == "MICROSOFT.COGNITIVESERVICES"| where OperationName == "ChatCompletions_Create"| extend PromptTokens = toint(properties_s.usage.prompt_tokens)| extend TotalTokens = toint(properties_s.usage.total_tokens)| extend Model = tostring(properties_s.model)| extend ClientIP = tostring(properties_s.client_ip)| where PromptTokens > 3500 or TotalTokens > 7000| summarize InferenceCount = count(), AvgTokens = avg(TotalTokens), DistinctSessions = dcount(tostring(properties_s.user)) by ClientIP, Model, bin(TimeGenerated, 1h)| where InferenceCount > 50| extend ATLAS_Tactic = "AML.TA0006", ATLAS_Technique = "AML.T0051"| project TimeGenerated, ClientIP, Model, InferenceCount, AvgTokens, ATLAS_Tactic, ATLAS_Technique| order by InferenceCount desctitle: Exécution anormale d'utilitaires système par un agent IA (ATLAS AML.T0053)id: 9a72e11b-4f90-4e31-8201-90c74b105a02status: experimentaldescription: Détecte un agent LLM invoquant des utilitaires système dangereux consécutivement à l'ingestion d'un contexte externe.author: Hermes Codex Threat Inteldate: 2026-09-09references: - https://atlas.mitre.org/techniques/AML.T0053 - https://hermes-codex.org/fr/threat-intel/mitre-atlas-adversarial-ai-threat-matrix/logsource: category: application product: ai_agent_runtimedetection: selection_tool: action: 'tool_call' tool_type: 'system_execution' command|contains: - 'bash' - 'sh' - 'powershell.exe' - 'cmd.exe' - 'curl' - 'wget' filter_authorized_devops: user_role: 'system_devops_agent' condition: selection_tool and not filter_authorized_devopslevel: hightags: - atlas.execution - atlas.aml.t0053 - attack.execution - attack.t1059rule atlas_aml_t0043_rag_poisoning_clustering { meta: description = "Détecte l'injection rapide de fragments sémantiquement anormaux dans une base vectorielle (ATLAS AML.T0043)" author = "Hermes Codex CTI" reference = "https://atlas.mitre.org/techniques/AML.T0043" severity = "CRITICAL"
events: $doc.metadata.event_type = "VECTOR_DATABASE_INGESTION" $doc.ai.collection_name = $collection $doc.ai.cosine_anomaly_score >= 0.92 $doc.principal.user.userid = $user
match: $collection over 15m
condition: #doc >= 5 and count_distinct($user) == 1}En appliquant les critères d’évaluation empirique d’Hermes Codex à la matrice MITRE ATLAS :
┌──────────────────────────────────────────────────────────────────────────────────────────┐│ SÉPARATION DES CAPACITÉS HERMES (MITRE ATLAS) │├──────────────────────────────────────────────────────────────────────────────────────────┤│ [1] CAPACITÉ DÉMONTRÉE (Prouvée en production et documentée empiriquement) ││ ✔ Contourner l'alignement de sécurité par jailbreaks automatisés (AML.T0054 / AttnGCG).││ ✔ Exécuter des injections indirectes via des documents web/PDF (AML.T0051.001 / AAP-002).││ ✔ Empoisonner la mémoire vectorielle avec un taux < 0,1 % (AML.T0043 / AgentPoison). ││ ✔ Détourner l'exécution d'outils par falsification d'arguments (AML.T0053 / AAP-003). │├──────────────────────────────────────────────────────────────────────────────────────────┤│ [2] INFÉRENCE RAISONNÉE (Menaces d'entreprise à haute probabilité à court terme) ││ ◐ Mouvement latéral automatisé entre agents au sein d'essaims (AML.TA0012 / AAP-006). ││ ◐ Exfiltration discrète d'identifiants par stéganographie conversationnelle. ││ ◐ Exploitation de mandataires MCP partagés pour la prise de contrôle d'infrastructure.│├──────────────────────────────────────────────────────────────────────────────────────────┤│ [3] SPÉCULATION HYPOTHÉTIQUE (Hypothèses non démontrées et allégations commerciales) ││ ✖ Extraction boîte noire intégrale des poids de modèles géants via de simples API. ││ ✖ Vers d'IA auto-réplicatifs capables de se propager sur des réseaux isolés. ││ ✖ Pare-feu textuels parfaits capables d'éliminer 100 % des injections sémantiques. │└──────────────────────────────────────────────────────────────────────────────────────────┘