Si ATT&CK es el mapa de cómo atacan los adversarios la infraestructura TI, MITRE ATLAS es su equivalente para la inteligencia artificial: Adversarial Threat Landscape for Artificial-Intelligence Systems. Una base de conocimiento, viva y respaldada por casos reales, de cómo se ataca un sistema de ML/IA. Y en 2026 se ha convertido en la referencia obligada para hacer threat modeling de IA. Vamos al detalle.
Qué es, en una línea. ATLAS = ATT&CK para IA. Mismo modelo (tácticas × técnicas), datos en STIX 2.1, visualización en ATLAS Navigator (capas estilo ATT&CK Navigator), y casos de estudio de incidentes/PoCs reales que respaldan cada técnica.
1. Un framework vivo
ATLAS ya no es un documento estático: publica releases mensuales. La versión v2026.09 trae:
- 16 tácticas, 120 técnicas, 88 subtécnicas
- 40 mitigaciones (AML.M####)
- 73 casos de estudio (AML.CS####)
Ese crecimiento (de ~84 técnicas a comienzos de 2026 a 120) refleja una cosa: la expansión agéntica. La mayoría de las entradas nuevas están etiquetadas para IA agéntica, y se han añadido tácticas que antes vivían solo en ATT&CK.
2. La matriz: tácticas (el “por qué”) × técnicas (el “cómo”)
Como en ATT&CK, las tácticas son los objetivos del adversario (columnas) y las técnicas el modo de lograrlos. ATLAS hereda tácticas clásicas y añade las propias de IA:
| Táctica (ID) | Qué persigue |
|---|---|
| Reconnaissance, Resource Development | Investigar y preparar el ataque al sistema de IA |
| Initial Access, Execution, Persistence | Entrar y mantenerse |
| Privilege Escalation (AML.TA0012), Credential Access (AML.TA0013) | Escalar y robar credenciales (añadidas 2023) |
| Defense Evasion, Discovery, Collection | Evadir, descubrir el modelo, recolectar |
| AI Attack Adaptation (AML.TA0001) | Antes “AI Attack Staging”: afinar el ataque contra el modelo (adversarial, extracción) |
| Command and Control (AML.TA0014) | C2 — añadida en abr-2025 |
| Lateral Movement (AML.TA0015) | Moverse por el entorno — añadida en nov-2025 |
| Exfiltration, Impact | Exfiltrar y causar daño |
El renombrado de AI Attack Staging → AI Attack Adaptation y la llegada de C2 y Lateral Movement cuentan la historia del año: los ataques a IA dejaron de ser “engañar a un clasificador” para parecerse a intrusiones completas sobre agentes.
3. Técnicas clave, con sus AML.T IDs
Preparación y cadena de suministro
- Publish Poisoned AI Artifacts (AML.T0115) — subir modelos/datasets envenenados.
- Publish Hallucinated Entities (AML.T0060) + Discover LLM Hallucinations (AML.T0062) — el ataque de “slopsquatting”: descubres paquetes/dependencias que los LLM alucinan y publicas malware con ese nombre.
- Autonomous Reconnaissance (AML.T0116) — recon ejecutado por el propio agente.
Acceso y ejecución
- LLM Prompt Injection (AML.T0051): subtécnicas Direct/Triggered (AML.T0051.002) e Indirect (AML.T0051.001) — la familia reina.
- Triggers in Multimodal Inputs (AML.T0129) — disparadores ocultos en imagen/audio, no solo texto.
Adaptación del ataque (AI Attack Adaptation)
- Elaboración de datos adversarios, evasión del modelo, y las técnicas de extracción/inversión que vimos en inversión de modelo.
C2, exfiltración y manipulación de agentes
- LLM Response Rendering (AML.T0077) — exfiltrar contenido de la conversación embebiéndolo en una URL de imagen Markdown que el cliente renderiza (el navegador hace la petición al servidor del atacante).
- Crafted AI Assistant Links (AML.T0131) y AI Agent Response Biasing (AML.T0130) — manipular lo que el agente enlaza o responde.
- Autonomous Attack Orchestration (AML.T0124) — el agente ejecutando el ataque de punta a punta.
Complemento, no competencia. ATLAS y el OWASP Top 10 para LLM se solapan pero sirven a cosas distintas: OWASP prioriza riesgos para desarrolladores; ATLAS cataloga tácticas y técnicas para threat modeling y red teaming, con casos reales detrás.
4. Lo que hace único a ATLAS: los casos de estudio
Cada técnica se respalda con incidentes o PoCs reales (AML.CS####). Una selección que vale oro para entender el panorama:
- PoisonGPT (AML.CS0019) — descargar un LLM preentrenado, envenenarlo para que afirme hechos falsos y redistribuirlo en el hub.
- Google Bard Conversation Exfiltration (AML.CS0029) — fuga de conversación vía rendering (precursor de T0077).
- Financial Transaction Hijacking with M365 Copilot as an Insider (AML.CS0026) y EchoLeak (AML.CS0059) — inyección de prompts (incluida zero-click) abusando de un copiloto empresarial como “insider”.
- SesameOp (AML.CS0042) — backdoor que usa la API de Assistants de OpenAI como canal de C2 (de ahí la táctica Command and Control).
- GTG-1002 — Claude Code Espionage Campaign (AML.CS0069) — campaña de espionaje orquestada con un agente de código.
Esta capa de evidencia es lo que separa a ATLAS de un simple listado teórico: cada técnica existe porque alguien la usó.
5. El giro agéntico (2026)
La gran historia del año es que ATLAS pasó de “seguridad de modelos” a seguridad de agentes. Ataques contra MCP (Model Context Protocol), orquestación autónoma, movimiento lateral entre herramientas de un agente y C2 a través de APIs de asistentes. Si despliegas agentes, ATLAS 2026 es tu catálogo de amenazas: más de la mitad de sus entradas aplican a sistemas agénticos.
6. Cómo usarlo (práctico)
- Threat modeling. Recorre la matriz contra tu sistema de IA: ¿qué técnicas aplican a tu arquitectura (RAG, agente, modelo propio, API de terceros)?
- Red teaming guiado. Convierte las AML.T en casos de prueba: prompt injection directa/indirecta (T0051), slopsquatting (T0060/T0062), exfil por rendering (T0077). Es la función MEASURE del NIST AI RMF.
- Mapea a mitigaciones. Cada técnica enlaza con mitigaciones AML.M####; úsalas como controles a implementar (MANAGE).
- Navigator + ATT&CK. Genera capas en ATLAS Navigator y, para sistemas que mezclan TI e IA, cruza ATLAS con ATT&CK (muchos ataques empiezan en la infra clásica y terminan en el modelo).
- Datos abiertos. Todo está en STIX 2.1 en el repositorio
atlas-data; puedes integrarlo en tus herramientas.
7. Conclusión
MITRE ATLAS convierte el “la IA se puede atacar” en algo operable: un lenguaje común (tácticas/técnicas con IDs), evidencia real (casos de estudio) y un puente directo a mitigaciones y a ATT&CK. En 2026, con su expansión agéntica, dejó de ser un apéndice curioso para volverse la columna vertebral del threat modeling de IA. Si aseguras o atacas sistemas de IA —con autorización—, ATLAS es el mapa que ya deberías tener abierto.