A Queryable Knowledge Graph of MITRE ATLAS: Cross-Linking Adversarial AI Taxonomies for Grounded Threat Reasoning

Resumo Técnico: Um Grafo de Conhecimento Consultável do MITRE ATLAS

Declaração do Problema
O MITRE ATLAS fornece um catálogo abrangente de táticas, técnicas e mitigações adversárias para sistemas de IA. No entanto, ele é atualmente distribuído como documentação estática, o que torna difíceis consultas complexas de múltiplos saltos (ex: "Quais técnicas carecem de mitigações documentadas?" ou "Quais etapas específicas um incidente do mundo real seguiu?") sem o cruzamento manual de dados. Embora a literatura existente tenha mapeado artigos de ML adversário para taxonomias do ATLAS ou construído grafos de conhecimento a partir de texto não estruturado, esses esforços frequentemente permanecem como artigos estáticos ou focam na extração de fontes desordenadas. Há uma carência de um artefato operacional e consultável que permita aos profissionais de segurança interrogar diretamente as relações entre táticas, técnicas, mitigações e incidentes. Além disso, a lacuna entre taxonomias técnicas estruturadas e obrigações regulatórias verificáveis por máquina permanece sem solução.

Metodologia
Os autores abordam essa lacuna modelando o MITRE ATLAS (versão 6.0.0, lançamento 2025.05) como um grafo de propriedades no Neo4j, em vez de depender de junções relacionais ou extração de texto não estruturado.

• Design do Esquema: O grafo utiliza um esquema que espelha fluxos de trabalho de analistas, com nós para Tática, Técnica, SubTécnica, Mitigação, Estudo de Caso, Plataforma e OwaspRisk. As relações incluem BELONGS_TO (pertence a), SUBTECHNIQUE_OF (é subtécnica de), MITIGATED_BY (mitigada por), TARGETS (visa), EMPLOYS (emprega — carregando descrições de procedimentos) e FOLLOWED_BY (seguido por — derivado de cadeias de etapas de estudos de caso).
• Ingestão: O pipeline normaliza os dados do formato similar ao STIX, baseado em chaves de ID do ATLAS, para o grafo usando operações MERGE de Cypher idempotentes. Como os dados de origem já são estruturados, o foco está no design de relacionamento, não na extração generativa.
• Interligação: O grafo é interligado manualmente ao OWASP Top 10 para Aplicações LLM (2025). Um mapeamento curado de muitos-para-muitos (63 arestas) conecta categorias de risco do OWASP a técnicas e subtécnicas específicas do ATLAS, criando uma relação CORRESPONDS_TO (corresponde a) sem alterar a lógica de ingestão central do ATLAS.
• Mecanismo de Raciocínio: Uma aplicação interativa sobrepõe um mecanismo de raciocínio baseado em LLM ao grafo. O LLM é utilizado estritamente para seleção de candidatos (identificar IDs de técnicas ATLAS relevantes a partir de uma descrição em linguagem natural de um sistema de IA). O LLM é explicitamente impedido de recordar conteúdo do ATLAS de sua memória; em vez disso, os IDs selecionados disparam consultas diretas ao Neo4j para recuperar descrições, mitigações e estudos de caso autoritativos. Uma etapa final de síntese gera relatórios totalmente fundamentados nos dados recuperados deste grafo.

Principais Contribuições

1. Artefato ATLAS Consultável: O primeiro sistema a expor o MITRE ATLAS como um grafo de propriedades navegável, permitindo consultas de múltiplos saltos que a documentação estática não suporta.
2. Enriquecimento de Cross-Taxonomia: A integração dos riscos do OWASP LLM Top 10 com as técnicas do ATLAS, operacionalizando a relação entre vulnerabilidades de nível de aplicação e táticas adversárias.
3. Extensões de Raciocínio Fundamentado:
   • Avaliação de Ameaças Automatizada: Um pipeline que gera relatórios de ameaças onde cada afirmação é rastreável a um nó de ID específico do ATLAS, evitando alucinações de LLM.
   • Análise de Cobertura: Ferramentas para identificar técnicas que não possuem mitigações documentadas.
   • Análise de Ortogonalidade: Uma visão estrutural demonstrando como os riscos do OWASP e as táticas do ATLAS funcionam como eixos de classificação distintos.

Resultos

• Priorização de Mitigação: A análise identificou as cinco principais mitigações por amplitude de cobertura. AI Telemetry Logging (AML.M0024) cobre 17 técnicas, seguido por Restrict Number of AI Model Queries (16) e Control Access to AI Models and Data at Rest (13).
• Lacunas de Cobertura: O sistema identificou 40 técnicas voltadas para IA Generativa que atualmente não possuem mitigação documentada no ATLAS, incluindo RAG Poisoning (AML.T0070) e a família Discover LLM System Information (AML.T0069).
• Ortogonalidade Taxonômica: A navegação pelo grafo OWASP-para-ATLAS revelou que as categorias de risco do OWASP e as táticas do ATLAS são amplamente ortogonais. Por exemplo, o risco do OWASP "Prompt Injection" (LLM01) abrange seis táticas distintas do ATLAS (ex: Execução, Persistência, Evasão de Defesa). Isso indica que o OWASP organiza por onde uma vulnerabilidade existe em uma aplicação, enquanto o ATLAS organiza por o que o adversário está tentando alcançar. Apenas categorias definidas por consequência, como "Sensitive Information Disclosure" (LLM02) e "Unbounded Consumption" (LLM10), mapeiam para uma única tática.
• Especificidades do Mapeamento: O mapeamento manual vinculou com sucesso 62 IDs únicos do ATLAS aos 10 riscos do OWASP, incluindo mapeamentos deliberados de muitos-para-muitos (ex: RAG Poisoning aparecendo tanto em Data Poisoning quanto em Vector Weaknesses).

Significância e Alegações
O artigo posiciona este trabalho como uma ponte entre o conhecimento rico baseado em prosa (taxonomias, pesquisas) e artefatos operacionais verificáveis por máquina.

• Para Profissionais: Transforma a documentação estática em um sistema que pode responder a perguntas complexas de múltiplos saltos sem o cruzamento manual de dados.
• Para Integração de LLM: Demonstra uma abordagem "fundamentada" onde os LLMs são usados para filtragem de relevância em vez de recuperação de conhecimento, garantindo que os relatórios gerados sejam rastreáveis a fontes autoritativas.
• Para Conformidade: Esboça um caminho para a "conformidade computacional" ao mostrar como taxonomias técnicas podem ser estruturadas para eventualmente mapear-se a obrigações regulatórias (ex: o EU AI Act), abordindo a lacuna de abstração identificada na literatura de conformidade atual.

Os autores explicitamente observam limitações, incluindo a baixa razão técnica-para-mitigação (5:1) inerente aos dados de origem, a falta de texto de justificativa de mitigação nas arestas e o fato de que a seleção inicial de candidatos via LLM não é garantida como perfeita. O trabalho é apresentado como um protótipo funcional com um roteiro claro para futura integração com telemetria ao vivo e frameworks regulatórios, em vez de uma ferramenta comercial finalizada.