A Queryable Knowledge Graph of MITRE ATLAS: Cross-Linking Adversarial AI Taxonomies for Grounded Threat Reasoning

기술 요약: MITRE ATLAS의 쿼리 가능한 지식 그래프

문제 정의
MITRE ATLAS는 AI 시스템을 위한 적대적 전술(Tactics), 기법(Techniques), 완화 조치(Mitigations)의 포괄적인 카탈로그를 제공한다. 그러나 현재는 정적인 문서 형태로 배포되어 있어, 복잡한 다단계 쿼리(예: "완화 조치가 문서화되지 않은 기법은 무엇인가?" 또는 "실제 발생한 사고에서 구체적으로 어떤 단계가 수행되었는가?")에 답하기 위해서는 수동적인 교차 참조가 필요하다. 기존 문헌들이 적대적 ML 논문을 ATLAS 분류 체계에 매핑하거나 비정형 텍스트로부터 지식 그래프를 구축하려는 시도를 해왔으나, 이러한 노력은 대개 정적인 논문 형태에 머물거나 무질서한 소스에서의 추출에 집중되어 있다. 따라서 보안 전문가가 전술, 기법, 완화 조치, 그리고 사례 연구 간의 관계를 직접 조사할 수 있게 해주는 운영 가능한 쿼리 가능 아티팩트(queryable artifact)가 부족한 실정이다. 또한, 구조화된 기술적 분류 체계와 기계로 검증 가능한 규제 의무 사이의 간극도 해결되지 않은 상태로 남아 있다.

방법론
저자들은 MITRE ATLAS(버전 6.0.0, 릴리스 2026.05)를 관계형 조인이나 비정형 텍스트 추출에 의존하는 대신, Neo4j를 이용한 속성 그래프(property graph)로 모델링함으로써 이 간극을 해결한다.

• 스키마 설계: 그래프는 분석가의 워크플로우를 반영하는 스키마를 활용하며, Tactic, Technique, SubTechnique, Mitigation, CaseStudy, Platform, OwaspRisk 노드로 구성된다. 관계에는 BELONGS_TO, SUBTECHNIQUE_OF, MITIGATED_BY, TARGETS, EMPLOYS(절차 설명 포함), FOLLOWED_BY(사례 연구 단계 체인에서 유도됨)가 포함된다.
• 데이터 주입(Ingestion): 파이프라인은 ATLAS의 ID 기반 STIX 유사 형식을 그래프로 정규화하며, 이때 멱등성을 가진 Cypher MERGE 연산을 사용한다. 소스 데이터가 이미 구조화되어 있으므로, 생성적 추출보다는 관계 설계에 초점을 맞춘다.
• 교차 연결(Cross-Linking): 그래프는 OWASP Top 10 for LLM Applications (2025)와 수동으로 교차 연결된다. 큐레이션된 다대다 매핑(63개의 엣지)을 통해 OWASP 리스크 카테고리와 특정 ATLAS 기법 및 하위 기법을 연결하며, 핵심 ATLAS 주입 로직을 변경하지 않고 CORRESPONDS_TO 관계를 생성한다.
• 추론 엔진: 인터랙티브 애플리케이션은 그래프 상단에 LLM 기반 추론 엔진을 계층화한다. LLM은 엄격하게 후보 선택(AI 시스템에 대한 자연어 설명으로부터 관련 ATLAS 기법 ID를 식별하는 작업) 용도로만 사용된다. LLM이 메모리로부터 ATLAS 콘텐츠를 회상하는 것은 명시적으로 금지되며, 대신 선택된 ID가 권위 있는 설명, 완화 조치 및 사례 연구를 검색하기 위해 직접적인 Neo4j 쿼리를 트리거한다. 최종 합성 단계는 완전히 이 검색된 그래프 데이터에 근거하여 보고서를 생성한다.

주요 기여

1. 쿼리 가능한 ATLAS 아티팩트: MITRE ATLAS를 탐색 가능한 속성 그래프로 노출하는 최초의 시스템으로, 정적 문서로는 지원할 수 없는 다단계 쿼리를 가능하게 한다.
2. 교차 분류 체계 강화: OWASP LLM Top 10 리스크를 ATLAS 기법과 통합하여, 애플리케이션 수준의 취약점과 적대적 전술 간의 관계를 실행 가능하게 만든다.
3. 근거 기반 추론 확장:
   • 자동화된 위협 평가: 모든 주장이 특정 ATLAS ID 노드에 추적될 수 있도록 하여 LLM의 환각(hallucination)을 방지하는 위협 보고서 생성 파이프라인.
   • 커버리지 분석: 완화 조치가 문서화되지 않은 기법을 식별하는 도구.
   • 직교성 분석: OWASP 리스크와 ATLAS 전술이 서로 별개의 분류 축으로서 어떻게 기능하는지를 보여주는 구조적 관점.

결과

• 완화 조치 우선순위 지정: 분석 결과, 커버리지 폭에 따른 상위 5가지 완화 조치를 식별했다. AI 텔레메트리 로깅(AML.M0024)이 17개 기법을 커버하며, 그 뒤를 AI 모델 쿼리 수 제한(16)과 AI 모델 및 데이터 저장 시 접근 제어(13)가 이었다.
• 커버리지 격차: 시스템은 RAG Poisoning(AML.T0070) 및 Discover LLM System Information 패밀리를 포함하여, 현재 ATLAS에 문서화된 완화 조치가 없는 40개의 생성형 AI 대상 기법을 식별했다.
• 분류 체계의 직교성: OWASP-to-ATLAS 그래프 탐색 결과, OWASP 리스크 카테고리와 ATLAS 전술은 대체로 직교(orthogonal)하는 것으로 나타났다. 예를 들어, OWASP 리스크인 "Prompt Injection"(LLM01)은 6개의 서로 다른 ATLAS 전술(예: Execution, Persistence, Defense Evasion)에 걸쳐 있다. 이는 OWASP가 취약점이 애플리케이션의 어디에 존재하는지에 따라 조직하는 반면, ATLAS는 적대자가 무엇을 달성하려고 하는지에 따라 조직함을 의미한다. "Sensitive Information Disclosure"(LLM02) 및 "Unbounded Consumption"(LLM10)과 같은 결과 정의 카테고리만이 단일 전술에 매핑된다.
• 매핑 세부 사항: 수동 매핑을 통해 62개의 고유한 ATLAS ID를 10개의 OWASP 리스크에 성공적으로 연결하였으며, 여기에는 의도적인 다대다 매핑(예: RAG Poisoning이 Data Poisoning과 Vector Weaknesses 모두에 등장함)이 포함된다.

의의 및 주장
본 논문은 이 작업을 풍부한 산문 기반 지식(분류 체계, 서베이)과 기계로 검증 가능한 운영 아티팩트 사이의 가교로 위치시킨다.

• 실무자 대상: 정적 문서를 수동적인 교차 참조 없이도 복잡한 다단계 질문에 답할 수 있는 시스템으로 변모시킨다.
• LLM 통합 대상: LLM이 지식 회상이 아닌 관련성 필터링을 위해 사용되도록 하는 "근거 기반(grounded)" 접근 방식을 입증하여, 생성된 보고서가 권위 있는 출처에 추적 가능함을 보장한다.
• 컴플라이언스 대상: 기술적 분류 체계가 어떻게 규제 의무(예: EU AI Act)에 매핑될 수 있는지 보여줌으로써, 현재 컴플라이언스 문헌에서 식별된 추상화 격차를 해결하고 "컴퓨터 기반 컴플라이언스(computational compliance)"를 향한 경로를 제시한다.

저자들은 소스 데이터에 내재된 낮은 기법 대비 완화 조치 비율(5:1), 엣지에 완화 근거 텍스트가 부족하다는 점, 초기 LLM 후보 선택이 반드시 완벽할 수는 없다는 점 등을 포함한 한계점을 명시적으로 언급했다. 본 연구는 완성된 상용 도구가 아니라, 라이브 텔레메트리 및 규제 프레임워크와의 향후 통합을 위한 명확한 로드맵을 가진 작동 가능한 프로토타입으로 제시된다.