A Queryable Knowledge Graph of MITRE ATLAS: Cross-Linking Adversarial AI Taxonomies for Grounded Threat Reasoning

Sintesi Tecnica: Un Grafo di Conoscenza Interrogabile di MITRE ATLAS

Problematica
MITRE ATLAS fornisce un catalogo completo di tattiche, tecniche e mitigazioni avversarie per i sistemi di IA. Tuttavia, esso è attualmente distribuito come documentazione statica, rendendo difficili le query multi-hop complesse (ad esempio, "Quali tecniche mancano di mitigazioni documentate?" o "Quali passaggi specifici ha intrapreso un incidente reale?") senza un ricalcolo manuale dei riferimenti incrociati. Sebbene la letteratura esistente abbia mappato articoli di ML avversario sulle tassonomie ATLAS o costruito grafi di conoscenza da testi non strutturati, tali sforzi rimangono spesso come paper statici o si concentrano sull'estrazione da fonti disordinate. Manca un artefatto operativo e interrogabile che permetta ai professionisti della sicurezza di interrogare direttamente le relazioni tra tattiche, tecniche, mitigazioni e incidenti. Inoltre, il divario tra tassonomie tecniche strutturate e obblighi normativi verificabili dalle macchine rimane non affrontato.

Metodologia
Gli autori affrontano questo divario modellando MITRE ATLAS (versione 6.0.0, rilascio 2026.05) come un grafo di proprietà in Neo4j, invece di fare affidamento su join relazionali o estrazione di testo non strutturato.

• Design dello Schema: Il grafo utilizza uno schema che rispecchia i flussi di lavoro degli analisti, con nodi per Tactic, Technique, SubTechnique, Mitigation, CaseStudy, Platform e OwaspRisk. Le relazioni includono BELONGS_TO, SUBTECHNIQUE_OF, MITIGATED_BY, TARGETS, EMPLOYS (che trasporta descrizioni procedurali) e FOLLOWED_BY (derivata dalle catene di passaggi dei casi studio).
• Integrazione (Ingestion): La pipeline normalizza i dati dal formato simile a STIX basato su chiavi ID di ATLAS utilizzando operazioni MERGE di Cypher idempotenti. Poiché i dati sorgente sono già strutturati, l'attenzione si concentra sul design delle relazioni piuttosto che sull'estrazione generativa.
• Collegamento Incrociato (Cross-Linking): Il grafo è collegato manualmente all'OWASP Top 10 per le applicazioni LLM (2025). Una mappatura curata molti-a-molti (63 archi) connette le categorie di rischio OWASP a specifiche tecniche e sottotecniche ATLAS, creando una relazione CORRESPONDS_TO senza alterare la logica di ingestione principale di ATLAS.
• Motore di Ragionamento: Un'applicazione interattiva integra un motore di ragionamento supportato da LLM sopra il grafo. L'LLM è utilizzato esclusivamente per la selezione dei candidati (identificazione degli ID delle tecniche ATLAS rilevanti da una descrizione in linguaggio naturale di un sistema di IA). L'LLM è esplicitamente impedito dal richiamare il contenuto di ATLAS dalla propria memoria; invece, gli ID selezionati attivano query dirette a Neo4j per recuperare descrizioni, mitigazioni e casi studio autorevoli. Un passaggio finale di sintesi genera report interamente radicati nei dati del grafo recuperati.

Contributi Chiave

1. Artefatto ATLAS Interrogabile: Il primo sistema che espone MITRE ATLAS come un grafo di proprietà attraversabile, abilitando query multi-hop che la documentazione statica non può supportare.
2. Arricchimento Cross-Tassonomia: L'integrazione dei rischi OWASP LLM Top 10 con le tecniche ATLAS, operazionalizzando la relazione tra vulnerabilità a livello di applicazione e tattiche avversarie.
3. Estensioni di Ragionamento Radicato (Grounded):
   • Valutazione Automatica delle Minacce: Una pipeline che genera report sulle minacce dove ogni affermazione è tracciabile a un nodo ID specifico di ATLAS, evitando allucinazioni dell'LLM.
   • Analisi della Copertura: Strumenti per identificare le tecniche che non hanno mitigazioni documentate.
   • Analisi dell'Ortogonalità: Una visione strutturale che dimostra come i rischi OWASP e le tattiche ATLAS funzionino come assi di classificazione distinti.

Risultati

• Prioritizzazione delle Mitigazioni: L'analisi ha identificato le prime cinque mitigazioni per ampiezza di copertura. AI Telemetry Logging (AML.M0024) copre 17 tecniche, seguito da Restrict Number of AI Model Queries (16) e Control Access to AI Models and Data at Rest (13).
• Lacune di Copertura: Il sistema ha identificato 40 tecniche che prendono di mira l'IA Generativa e che attualmente non hanno una mitigazione documentata in ATLAS, inclusa la tecnica RAG Poisoning (AML.T0070) e la famiglia Discover LLM System Information (AML.T0069).
• Ortogonalità Tassonomica: Il transito del grafo OWASP-to-ATLAS ha rivelato che le categorie di rischio OWASP e le tattiche ATLAS sono largamente ortogonali. Ad esempio, il rischio OWASP "Prompt Injection" (LLM01) si estende su sei tattiche ATLAS distinte (es. Execution, Persistence, Defense Evasion). Ciò indica che OWASP organizza in base a dove una vulnerabilità esiste in un'applicazione, mentre ATLAS organizza in base a cosa l'avversario sta cercando di ottenere. Solo le categorie definite dalle conseguenze come "Sensitive Information Disclosure" (LLM02) e "Unbounded Consumption" (LLM10) mappano su una singola tattica.
• Specifiche della Mappatura: La mappatura manuale ha collegato con successo 62 ID unici di ATLAS ai 10 rischi OWASP, incluse mappature deliberate molti-a-molti (ad esempio, RAG Poisoning che appare sia sotto Data Poisoning che sotto Vector Weaknesses).

Significatività e Rivendicazioni
Il paper posiziona questo lavoro come un ponte tra la ricca conoscenza basata su prosa (tassonomie, survey) e artefatti operativi verificabili dalle macchine.

• Per i Professionisti: Trasforma la documentazione statica in un sistema che può rispondere a domande multi-hop complesse senza ricalcoli manuali.
• Per l'Integrazione LLM: Dimostra un approccio "radicato" in cui gli LLM sono usati per il filtraggio della rilevanza piuttosto che per il richiamo della conoscenza, garantendo che i report generati siano tracciabili a fonti autorevoli.
• Per la Conformità: Delinea un percorso verso la "conformità computazionale" mostrando come le tassonomie tecniche possano essere strutturate per mappare eventualmente agli obblighi normativi (es. l'EU AI Act), affrontando il divario di astrazione identificato nella letteratura attuale sulla conformità.

Gli autori notano esplicitamente i limiti, tra cui il basso rapporto tecnica-mitigazione (5:1) inerente ai dati sorgente, la mancanza di testo di razionale della mitigazione sugli archi e il fatto che la selezione iniziale dei candidati tramite LLM non è garantita di essere perfetta. Il lavoro è presentato come un prototipo funzionante con una chiara tabella di marcia per la futura integrazione con la telemetria live e i framework normativi, piuttosto che come uno strumento commerciale finito.