A Queryable Knowledge Graph of MITRE ATLAS: Cross-Linking Adversarial AI Taxonomies for Grounded Threat Reasoning

Resumen Técnico: Un Grafo de Conocimiento Consultable de MITRE ATLAS

Planteamiento del Problema
MITRE ATLAS proporciona un catálogo exhaustivo de tácticas, técnicas y mitigaciones adversarias para sistemas de IA. Sin embargo, actualmente se distribuye como documentación estática, lo que dificulta la realización de consultas complejas de múltiples saltos (por ejemplo, "¿Qué técnicas carecen de mitigaciones documentadas?" o "¿Qué pasos específicos tomó un incidente del mundo real?") sin necesidad de una referencia cruzada manual. Aunque la literatura existente ha mapeado artículos de ML adversario con las taxonomías de ATLAS o ha construido grafos de conocimiento a partir de texto no estructurado, estos esfuerzos suelen permanecer como artículos estáticos o se centran en la extracción de fuentes desordenadas. Existe una falta de un artefacto operativo y consultable que permita a los profesionales de la seguridad interrogar directamente las relaciones entre tácticas, técnicas, mitigaciones e incidentes. Además, la brecha entre las taxonomías técnicas estructuradas y las obligaciones regulatorias verificables por máquinas sigue sin abordarse.

Metodología
Los autores abordan esta brecha modelando MITRE ATLAS (versión 6.0.0, lanzamiento 2026.05) como un grafo de propiedades en Neo4j, en lugar de depender de uniones relacionales o extracción de texto no estructurado.

• Diseño del Esquema: El grafo utiliza un esquema que refleja los flujos de trabajo de los analistas, con nodos para Táctica, Técnica, Subtécnica, Mitigación, Caso de Estudio, Plataforma y OwaspRisk. Las relaciones incluyen BELONGS_TO (pertenece a), SUBTECHNIQUE_OF (es subtécnica de), MITIGATED_BY (mitigado por), TARGETS (apunta a), EMPLOYS (emplea —portando descripciones de procedimientos—) y FOLLOWED_BY (seguido de —derivado de cadenas de pasos de casos de estudio—).
• Ingesta: El pipeline normaliza los datos del formato tipo STIX basado en claves de ID de ATLAS hacia el grafo utilizando operaciones MERGE de Cypher idempotentes. Dado que los datos de origen ya están estructurados, el enfoque se centra en el diseño de las relaciones más que en la extracción generativa.
• Vinculación Cruzada: El grafo se vincula manualmente con el OWASP Top 10 para Aplicaciones de LLM (2025). Un mapeo curado de muchos a muchos (63 aristas) conecta las categorías de riesgo de OWASP con técnicas y subtécnicas específicas de ATLAS, creando una relación CORRESPONDS_TO (corresponde a) sin alterar la lógica de ingesta central de ATLAS.
• Motor de Razonamiento: Una aplicación interactiva añade un motor de razonamiento respaldado por un LLM sobre el grafo. El LLM se utiliza estrictamente para la selección de candidatos (identificar IDs de técnicas de ATLAS relevantes a partir de una descripción en lenguaje natural de un sistema de IA). Se impide explícitamente al LLM recordar contenido de ATLAS desde su memoria; en su lugar, los IDs seleccionados activan consultas directas a Neo4j para recuperar descripciones, mitigaciones y casos de estudio autorizados. Un paso de síntesis final genera informes fundamentados enteramente en los datos recuperados de este grafo.

Contribuciones Clave

1. Artefacto de ATLAS Consultable: El primer sistema que expone MITRE ATLAS como un grafo de propiedades transitable, permitiendo consultas de múltiples saltos que la documentación estática no puede soportar.
2. Enriquecimiento de Taxonomía Cruzada: La integración de los riesgos de OWASP LLM Top 10 con las técnicas de ATLAS, operacionalizando la relación entre vulnerabilidades a nivel de aplicación y tácticas adversarias.
3. Extensiones de Razonamiento Fundamentado:
   • Evaluación de Amenazas Automatizada: Un pipeline que genera informes de amenazas donde cada afirmación es trazable a un nodo de ID de ATLAS específico, evitando las alucinaciones del LLM.
   • Análisis de Cobertura: Herramientas para identificar técnicas que no tienen mitigaciones documentadas.
   • Análisis de Ortogonalidad: Una visión estructural que demuestra cómo los riesgos de OWASP y las tácticas de ATLAS funcionan como ejes de clasificación distintos.

Resultados

• Priorización de Mitigación: El análisis identificó las cinco principales mitigaciones por amplitud de cobertura. AI Telemetry Logging (AML.M0024) cubre 17 técnicas, seguido de Restrict Number of AI Model Queries (16) y Control Access to AI Models and Data at Rest (13).
• Brechas de Cobertura: El sistema identificó 40 técnicas dirigidas a IA Generativa que actualmente no tienen una mitigación documentada en ATLAS, incluyendo RAG Poisoning (AML.T0070) y la familia Discover LLM System Information (AML.T0069).
• Ortogonalidad Taxonómica: El recorrido del grafo OWASP-a-ATLAS reveló que las categorías de riesgo de OWASP y las tácticas de ATLAS son mayoritariamente ortogonales. Por ejemplo, el riesgo de OWASP "Prompt Injection" (LLM01) abarca seis tácticas distintas de ATLAS (ej., Ejecución, Persistencia, Evasión de Defensa). Esto indica que OWASP organiza por dónde existe una vulnerabilidad en una aplicación, mientras que ATLAS organiza por qué intenta lograr el adversario. Solo las categorías definidas por consecuencias como "Sensitive Information Disclosure" (LLM02) y "Unbounded Consumption" (LLM10) se mapean a una sola táctica.
• Especificidad del Mapeo: El mapeo manual vinculó con éxito 62 IDs únicos de ATLAS con los 10 riesgos de OWASP, incluyendo mapeos deliberados de muchos a muchos (por ejemplo, RAG Poisoning apareciendo bajo Data Poisoning y Vector Weaknesses).

Significancia y Reivindicaciones
El artículo posiciona este trabajo como un puente entre el conocimiento rico basado en prosa (taxonomías, encuestas) y los artefactos operativos verificables por máquinas.

• Para Profesionales: Transforma la documentación estática en un sistema que puede responder preguntas complejas de múltiples saltos sin necesidad de referencias cruzadas manuales.
• Para la Integración de LLM: Demuestra un enfoque "fundamentado" donde los LLM se utilizan para el filtrado de relevancia en lugar de la recuperación de conocimiento, asegurando que los informes generados sean trazables a fuentes autorizadas.
• Para el Cumplimiento: Esboza un camino hacia el "cumplimiento computacional" al mostrar cómo las taxonomías técnicas pueden estructurarse para mapearse eventualmente con las obligaciones regulatorias (ej., la Ley de IA de la UE), abordando la brecha de abstracción identificada en la literatura de cumplimiento actual.

Los autores señalan explícitamente las limitaciones, incluyendo la baja relación técnica-mitigación (5:1) inherente a los datos de origen, la falta de texto de justificación de mitigación en las aristas, y el hecho de que la selección inicial de candidatos por LLM no garantiza la perfección. El trabajo se presenta como un prototipo funcional con una hoja de ruta clara para la futura integración con telemetría en vivo y marcos regulatorios, más que como una herramienta comercial terminada.