Organizations deploying artificial intelligence face a new frontier of security threats that traditional frameworks were never designed to address. AI-enabled adversary attacks surged 89% compared to prior years according to industry threat intelligence research, up from a 72% increase reported in 2025. This escalation demands a structured approach to understanding and defending against adversarial threats to AI systems. Enter MITRE ATLAS — the Adversarial Threat Landscape for Artificial-Intelligence Systems — a comprehensive adversarial ML knowledge base designed specifically to catalog how attackers target machine learning and AI systems.
Para los equipos de seguridad que ya están familiarizados con MITRE ATT&CK, ATLAS (a veces denominado Atlas MITRE en las búsquedas) ofrece una extensión natural al ámbito de la seguridad de la IA. Esta guía proporciona todo lo que los analistas de seguridad, los responsables de SOC y los ingenieros de IA necesitan para poner en práctica ATLAS frente a los ataques de IA adversarios, desde los fundamentos del marco hasta las estrategias prácticas de detección.
MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems) is a globally accessible adversarial ML knowledge base that documents adversary tactics, techniques, and procedures (TTPs) specifically targeting artificial intelligence and machine learning systems. Modeled after the widely adopted MITRE ATT&CK framework, this adversarial AI knowledge base provides security teams with a structured approach to understanding, detecting, and defending against AI-specific threats. The MITRE ATLAS framework serves as the definitive machine learning security framework for AI threat modeling.
As of version 5.1.0 (November 2025), the framework contains 16 tactics, 84 techniques, 56 sub-techniques, 32 mitigations, and 42 real-world case studies according to the official MITRE ATLAS CHANGELOG, up from 15 tactics and 66 techniques in October 2025. The February 2026 update (v5.4.0) added further agent-focused techniques. This rapid growth reflects the accelerating evolution of AI threats.
El aprendizaje automático adversarial —el estudio de los ataques a los sistemas de aprendizaje automático y las defensas contra ellos— abarca cuatro categorías principales de ataques, según documenta el NIST: evasión, envenenamiento, privacidad y abusos. ATLAS organiza estos patrones de ataque en una estructura matricial que los profesionales de la seguridad pueden poner en práctica de inmediato.
MITRE creó ATLAS para abordar una brecha crítica en el panorama de la seguridad. Si bien ATT&CK cataloga eficazmente las amenazas a la infraestructura tradicional de TI y OT, carece de cobertura de los ataques que explotan las características únicas de los sistemas de aprendizaje automático. ATLAS llena este vacío al proporcionar el mismo enfoque riguroso y validado por la comunidad para la inteligencia de amenazas de IA.
El marco también se conecta con MITRE D3FEND, que proporciona contramedidas defensivas que las organizaciones pueden aplicar frente a las técnicas ATLAS.
Comprender la diferencia entre ATLAS y ATT&CK ayuda a los equipos de seguridad a determinar cuándo aplicar cada marco.
Tabla: Comparación entre los marcos MITRE ATT&CK MITRE ATLAS
ATLAS hereda 13 tácticas de ATT&CK, entre ellas Reconocimiento, Acceso inicial, Ejecución y Exfiltración, pero las aplica específicamente a contextos de IA. Las dos tácticas específicas de IA exclusivas de ATLAS son:
AML.0004): Describe cómo los adversarios obtienen acceso a los modelos de aprendizaje automático objetivo a través de API de inferencia o acceso directo a artefactos.AML.0012): Abarca cómo los adversarios preparan ataques dirigidos a modelos de aprendizaje automático, incluyendo el envenenamiento de datos de entrenamiento y puerta trasera inserciónLos equipos de seguridad deben utilizar ambos marcos conjuntamente para obtener una cobertura completa: ATT&CK para las amenazas tradicionales a la infraestructura y ATLAS para los vectores de ataque específicos de la IA.
La base de conocimientos oficial MITRE ATLAS organiza la información sobre amenazas utilizando la misma estructura matricial que ha hecho posible el éxito de ATT&CK. Comprender esta estructura permite detectar amenazas de forma eficaz y crear modelos de amenazas basados en inteligencia artificial.
The MITRE ATLAS matrix (sometimes called the MITRE framework matrix for AI or the AI threat matrix) displays tactics as columns and techniques as rows. Each cell represents a specific method adversaries use to achieve tactical goals against AI systems. This visual organization allows security teams to quickly identify coverage gaps and prioritize defenses.
Los componentes del marco funcionan conjuntamente:
Los datos de ATLAS están disponibles en formato STIX 2.1, lo que permite una integración legible por máquina con herramientas y plataformas de seguridad. Este formato estandarizado admite la ingestión automatizada en plataformas de inteligencia sobre amenazas y sistemas SIEM.
The framework receives regular updates through community contributions and MITRE's ongoing research. The October 2025 update through Zenity Labs collaboration added 14 new agent-focused techniques, followed by the November 2025 v5.1.0 release that expanded the framework to 16 tactics with 84 techniques. The February 2026 v5.4.0 update added further techniques including "Publish Poisoned AI Agent Tool" and "Escape to Host," demonstrating the framework's active evolution.
Las tácticas, técnicas y procedimientos (TTP) constituyen el vocabulario básico de la defensa basada en la información sobre amenazas. En ATLAS:
AML.TXXXX.AML.0051) incluye sub-técnicas para métodos de inyección directa e indirecta.Esta jerarquía permite un modelado de amenazas cada vez más detallado. Los equipos pueden comenzar con un análisis de cobertura a nivel táctico y profundizar en técnicas específicas basadas en la exposición de su sistema de IA.
ATLAS organizes 84 techniques across 16 tactics that span the complete adversarial lifecycle, up from 15 tactics and 66 techniques in October 2025. This comprehensive breakdown addresses a significant content gap identified in competitor analysis — no existing guide covers all tactics with detection-focused guidance.
Table: MITRE ATLAS tactics with key techniques
The November 2025 v5.1.0 release added a 16th tactic — Command and Control (AML.0015) — along with 18 new techniques and 6 new mitigations focused on AI agent security controls. This brought the total from 66 to 84 techniques and from 33 to 42 case studies.
El ciclo de vida del ataque comienza con el reconocimiento, en el que los adversarios recopilan información sobre los sistemas de aprendizaje automático objetivo. Las técnicas clave incluyen:
AML.0051): Los adversarios crean entradas maliciosas para manipular el comportamiento del LLM, lo que se corresponde con OWASP LLM01.Estas tácticas específicas de la IA describen cómo los adversarios interactúan con los modelos de aprendizaje automático y los explotan:
Los actores maliciosos mantienen el acceso y evitan ser detectados mediante:
Las tácticas de etapas posteriores se centran en alcanzar los objetivos del adversario:
AML.0020): El envenenamiento de datos corrompe los datos de entrenamiento para manipular el comportamiento del modelo, lo cual es crítico. exfiltración de datos vectorComprender los patrones de movimiento lateral ayuda a los equipos de seguridad a rastrear cómo avanzan los atacantes mediante estas tácticas.
ATLAS proporciona herramientas prácticas y gratuitas que transforman el marco de la documentación en capacidades de seguridad aplicables. Este ecosistema de herramientas aborda una importante laguna de contenido, ya que pocos competidores cubren estos recursos de forma exhaustiva.
Tabla: Ecosistema de herramientas oficiales de MITRE ATLAS
ATLAS Navigator proporciona una interfaz web interactiva para visualizar la matriz del marco. Los equipos de seguridad utilizan Navigator para:
Navigator se integra con ATT&CK Navigator, lo que permite obtener vistas unificadas en ambos marcos. Los equipos que ya utilizan ATT&CK Navigator se familiarizarán inmediatamente con la interfaz de ATLAS.
En marzo de 2023, Microsoft y MITRE anunciaron su colaboración en Arsenal, un complemento de CALDERA que permite la emulación automatizada de adversarios contra sistemas de IA. Arsenal implementa técnicas ATLAS sin necesidad de tener profundos conocimientos de aprendizaje automático.
Las capacidades clave incluyen:
Arsenal apoya la búsqueda de amenazas mediante la validación de la cobertura de detección frente a simulaciones de ataques realistas. Para los equipos de respuesta a incidentes, Arsenal ayuda a comprender las capacidades de los atacantes y a probar los procedimientos de respuesta.
La Iniciativa para compartir incidentes relacionados con la IA permite a las organizaciones compartir y aprender de los incidentes de seguridad relacionados con la IA. Esta plataforma impulsada por la comunidad ofrece:
Esta información se incorpora directamente a las actualizaciones de ATLAS, lo que garantiza que el marco refleje los patrones de amenaza actuales.
Los equipos de seguridad suelen preguntar qué marco de seguridad de IA deben adoptar. La respuesta: utilice los tres para obtener una cobertura complementaria. Esta comparación ayuda a los equipos a comprender cuándo aplicar cada marco, lo que responde a una pregunta habitual sobre la PAA.
Tabla: Comparación de marcos de seguridad de IA: ATLAS frente a OWASP frente a NIST AI RMF
Según el análisis de marcos de Cloudsine, estos marcos sirven para diferentes fases del ciclo de vida de la seguridad de la IA:
Tabla: Tabla comparativa del marco para vulnerabilidades comunes de IA
Comprender las vulnerabilidades en los tres marcos permite una cobertura integral. Los equipos deben asignar sus activos de IA a las técnicas pertinentes en cada marco.
La integración de ATLAS en las operaciones de seguridad requiere técnicas de mapeo de las capacidades de detección y los flujos de trabajo. Según la guía de integración SOC de ThreatConnect, aproximadamente el 70 % de las mitigaciones de ATLAS se corresponden con los controles de seguridad existentes. El 30 % restante requiere nuevos controles específicos de IA.
Pasos para la integración del SOC:
Una detección eficaz requiere asignar las técnicas ATLAS a fuentes de registro específicas y a la lógica de detección.
Tabla: Ejemplo de asignación de detección para técnicas ATLAS prioritarias.
Las capacidades de detección y respuesta de red complementan la detección en la capa de aplicación. El análisis del comportamiento de usuarios y entidades (UEBA) ayuda a identificar patrones de acceso anómalos a los sistemas de IA.
Realice un seguimiento de estas métricas para medir la operatividad de ATLAS:
Las revisiones trimestrales del modelo de amenazas garantizan que la cobertura se mantenga al día con las actualizaciones del marco y las amenazas emergentes.
ATLAS includes 42 case studies documenting real-world attacks against AI systems, up from 33 in October 2025. Analyzing these incidents provides actionable defensive insights that go beyond theoretical threat modeling.
En noviembre de 2025, MITRE ATLAS publicó un estudio de caso que documentaba ataques deepfake contra sistemas móviles de detección de vida KYC (Know Your Customer). Según la cobertura de Mobile ID World, este ataque se dirigió contra plataformas bancarias, de servicios financieros y de criptomonedas.
Progresión de la cadena de ataques:
Reconocimiento -> Desarrollo de recursos -> Acceso inicial -> Evasión de la defensa -> Impacto
Recomendaciones defensivas:
Este caso práctico muestra cómo los atacantes combinan la ingeniería social con herramientas de IA para burlar los controles de seguridad, lo que puede dar lugar a violaciones de datos.
The SesameOp case study, added to ATLAS in late 2025, documents a novel backdoor technique that leverages AI assistant APIs for command and control. Instead of building traditional C2 infrastructure, adversaries repurposed legitimate agent service APIs as covert control channels — blending malicious activity into normal AI workflows. This attack pattern maps to the new AI Service API technique (AML.0096) and demonstrates how agentic AI infrastructure creates command and control channels that evade conventional network detection.
ATLAS expanded from 33 to 42 case studies between October 2025 and February 2026. Notable additions include:
El análisis HiddenLayer del caso práctico AML.CS0003 de ATLAS documenta cómo los investigadores eludieron un producto de seguridad para terminales basado en ML:
AI security threats require specialized detection approaches that go beyond traditional security controls. With AI-enabled adversary attacks surging 89% compared to prior years — up from a 72% increase in 2025 — organizations need proactive defense strategies.
Lista de verificación de defensa para la seguridad de la IA:
Las organizaciones deben alinear las inversiones en seguridad de IA con phishing ( phishing generado por IA phishing aumentando rápidamente) como con la defensa contra el ransomware (la IA permite ataques más sofisticados).
AML.0051)Prompt injection is the most prominent ATLAS technique, cataloged as AML.0051 under the Initial Access tactic. Large language models face unique attack vectors that traditional security cannot address, and ATLAS catalogs these threats systematically.
Tabla: Tipos de amenazas LLM con mapeo ATLAS y métodos de detección
Los CVE recientes demuestran estas amenazas en la práctica:
Las capacidades de detección y respuesta ante amenazas a la identidad ayudan a detectar intentos de robo de credenciales mediante la explotación de LLM.
La actualización de ATLAS de octubre de 2025 aborda específicamente los agentes autónomos de IA, es decir, sistemas que pueden realizar acciones, acceder a herramientas y mantener el contexto entre sesiones. Entre las nuevas técnicas se incluyen:
AML.0058 Envenenamiento del contexto del agente de IA: Inyectar contenido malicioso en la memoria del agente o en el contexto del subproceso.AML.0059 Desencadenantes de activación: Incorporación de desencadenantes que se activan en condiciones específicas.AML.0060 Datos de los servicios de IA: Extracción de información mediante la recuperación de la base de datos RAG.AML.0061 Herramientas para agentes de IA: Aprovechar el acceso a la herramienta del agente con fines maliciosos.AML.0062 Exfiltración mediante la invocación de la herramienta AI Agent: Uso de llamadas a herramientas legítimas para extraer datos.Principios de seguridad para agentes de IA:
Según las directrices sobre IA/OT de la CISA de diciembre de 2025, las organizaciones deben incorporar medidas de supervisión y seguridad para todos los sistemas de IA que operan en entornos críticos.
The Model Context Protocol (MCP) — an open standard for connecting AI agents to external tools and data sources — introduces attack surfaces that ATLAS now explicitly addresses. MCP exploits allow adversaries to manipulate the tool-calling layer between AI agents and enterprise systems, bypassing traditional security controls.
ATLAS techniques relevant to MCP security include:
AML.0061): Adversaries exploit MCP server configurations to invoke unauthorized tool actions or access restricted dataAML.0062): Attackers leverage legitimate MCP tool calls to extract sensitive data through sanctioned channelsAML.0096, added 2026): Exploiting AI orchestration APIs for stealthy command and controlThe January 2026 ATLAS update (v5.3.0) added three new case studies specifically covering MCP server compromises, indirect prompt injection via MCP channels, and malicious AI agent deployment. Security teams should validate all MCP server configurations, restrict tool permissions to least privilege, and monitor tool invocation patterns for anomalies.
El panorama de la seguridad de la IA evoluciona rápidamente, con la presión regulatoria y la colaboración de la industria impulsando la adopción de marcos normativos. Las organizaciones deben prepararse tanto para las amenazas emergentes como para los requisitos de cumplimiento normativo.
The MITRE Secure AI Program, supported by 16 member organizations including Microsoft and JPMorgan Chase, focuses on expanding ATLAS with real-world observations and expediting AI incident sharing.
Novedades normativas:
AI security threats continue to accelerate, with 87% of organizations reporting AI-powered cyberattack exposure and 92% expressing concern over agentic AI security implications according to industry research.
Vectra AI's Attack Signal Intelligence methodology applies behavior-based detection principles that align with ATLAS framework objectives. By focusing on attacker behaviors rather than static signatures, organizations can detect the techniques cataloged in ATLAS — from prompt injection attempts to data exfiltration via inference APIs — across hybrid cloud environments.
Este enfoque permite a los equipos de seguridad identificar y priorizar las amenazas reales relacionadas con la IA, al tiempo que reduce el ruido de las alertas. La detección y respuesta de red, combinada con la detección de amenazas de identidad, proporciona visibilidad en toda la superficie de ataque a la que ahora se dirigen las amenazas de IA.
MITRE ATLAS provides the structured approach organizations need to defend AI systems against sophisticated adversaries. With 16 tactics, 84 techniques, and continuous updates reflecting emerging threats like agentic AI attacks and MCP exploits, the framework delivers actionable intelligence for security teams.
The rapid expansion from 15 tactics in October 2025 to 16 tactics and 84 techniques by February 2026 demonstrates ATLAS's commitment to keeping pace with AI evolution. As AI-assisted attacks continue to surge and regulatory requirements like the EU AI Act take effect, organizations cannot afford to treat AI security as an afterthought.
Start with these immediate actions:
For organizations seeking comprehensive AI security beyond framework adoption, Vectra AI's Attack Signal Intelligence provides behavior-based detection that identifies the adversary techniques ATLAS catalogs — enabling security teams to find and stop AI threats across hybrid environments.
MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems) is a globally accessible knowledge base that catalogs adversary tactics, techniques, and case studies specifically targeting AI and machine learning systems. Modeled after MITRE ATT&CK, ATLAS provides a structured framework for understanding AI-specific threats. As of February 2026, it contains 16 tactics, 84 techniques, 56 sub-techniques, 32 mitigations, and 42 real-world case studies. Security teams use ATLAS for threat modeling, detection development, and red teaming AI systems. The framework is freely available at atlas.mitre.org.
Mientras que ATT&CK se centra en las amenazas tradicionales de TI/TO, ATLAS aborda específicamente los ataques dirigidos a los sistemas de IA y aprendizaje automático. ATLAS incluye dos tácticas únicas que no se encuentran en ATT&CK: Acceso al modelo de aprendizaje automático (AML.0004) y ML Attack Staging (AML.0012). Ambos marcos utilizan la misma estructura matricial y la misma metodología TTP, lo que hace que ATLAS sea accesible para los equipos de seguridad que ya están familiarizados con ATT&CK. Las organizaciones deben utilizar ambos marcos conjuntamente: ATT&CK para las amenazas a la infraestructura y ATLAS para los vectores de ataque específicos de la IA. Los marcos comparten tácticas comunes, pero las aplican a contextos tecnológicos diferentes.
As of February 2026 (v5.4.0), MITRE ATLAS contains 16 tactics, 84 techniques, and 56 sub-techniques, up from 15 tactics and 66 techniques in October 2025. The November 2025 v5.1.0 update added a 16th tactic and expanded to 84 techniques, 32 mitigations, and 42 case studies. The February 2026 v5.4.0 update added further agent-focused techniques including "Publish Poisoned AI Agent Tool" and "Escape to Host." This represents significant growth from earlier versions — some older sources cite 56 or 66 techniques, which reflects pre-November 2025 counts. Always reference the official ATLAS CHANGELOG for current statistics.
Prompt injectionAML.0051) es una técnica de acceso inicial en la que los atacantes crean entradas maliciosas para manipular el comportamiento de los modelos de lenguaje grande (LLM). ATLAS distingue entre prompt injection directa prompt injection contenido malicioso en la entrada del usuario) y prompt injection indirecta prompt injection contenido malicioso incrustado en fuentes de datos externas que procesa el LLM). Esta técnica se corresponde con OWASP LLM-01 y constituye uno de los vectores de ataque más comunes contra las aplicaciones de LLM. La detección se centra en el análisis de patrones de entrada y la supervisión del comportamiento de salida. CVE recientes, como CVE-2025-32711 (EchoLeak), demuestran su explotación en el mundo real.
Utilice ATLAS Navigator para visualizar el marco y crear capas personalizadas que asignen sus activos de IA a las técnicas pertinentes. Comience por hacer un inventario de todos los modelos de aprendizaje automático, los procesos de formación y las aplicaciones habilitadas para la IA. Identifique qué tácticas se aplican a las etapas de su proceso de aprendizaje automático en función de la arquitectura del sistema. Priorice las técnicas en función de la exposición y la probabilidad. Asigne capacidades de detección para crear visualizaciones de cobertura. Integre ATLAS en metodologías de modelado de amenazas existentes, como STRIDE junto con ATT&CK, para obtener una cobertura completa. Revise y actualice los modelos de amenazas trimestralmente a medida que evoluciona el marco.
ATLAS offers several free tools. Navigator provides web-based matrix visualization for threat modeling and coverage mapping, with export capabilities in JSON, Excel, and SVG formats. Arsenal is a CALDERA plugin for automated AI red teaming, developed in collaboration with Microsoft. The AI Incident Sharing Initiative enables community threat intelligence sharing through anonymized incident reports. The AI Risk Database provides searchable incident and vulnerability information. All tools are accessible at atlas.mitre.org and through MITRE's GitHub repositories. These tools transform ATLAS from documentation into actionable security capabilities.
ATLAS y el Top 10 de OWASP LLM tienen fines complementarios. ATLAS ofrece un marco de TTP centrado en el atacante para el modelado y la detección de amenazas, mientras que OWASP ofrece una lista de vulnerabilidades centrada en el desarrollador para un desarrollo seguro. Utiliza OWASP durante las fases de desarrollo y revisión del código; utiliza ATLAS para la seguridad operativa, el modelado de amenazas y el desarrollo de sistemas de detección. Muchas vulnerabilidades aparecen en ambos marcos desde perspectivas diferentes; por ejemplo, prompt injection una técnica de ATLAS. AML.0051 y OWASP LLM01. El mejor enfoque combina ambos marcos con NIST AI RMF para la gobernanza.
The MITRE ATLAS adversarial ML knowledge base is a structured repository of adversary tactics, techniques, sub-techniques, mitigations, and real-world case studies focused on attacks against AI and machine learning systems. As of February 2026 (v5.4.0), the knowledge base contains 16 tactics, 84 techniques, 56 sub-techniques, 32 mitigations, and 42 case studies. It is freely accessible at atlas.mitre.org and its data is available in STIX 2.1 format for machine-readable integration with security tools and threat intelligence platforms.
MITRE ATLAS case studies are documented real-world incidents where adversaries targeted AI and machine learning systems, mapped to specific ATLAS tactics and techniques. As of February 2026, ATLAS contains 42 case studies covering attacks ranging from deepfake-based KYC bypass and ML model evasion to AI agent backdoors and financial transaction hijacking through AI assistants. Notable examples include the iProov deepfake case study targeting mobile banking, the SesameOp AI agent backdoor (AML.CS0042), and MCP server compromise scenarios. Security teams use these case studies to understand real attack chains and validate detection coverage.
ATLAS Navigator provides an interactive web interface at atlas.mitre.org for visualizing the ATLAS matrix. To export coverage layers, create a custom layer by selecting relevant techniques and assigning scores based on your detection coverage. Navigate to Layer Controls and export in JSON format for programmatic use, Excel for analyst review, or SVG for visual reporting. Teams can combine multiple layers using score expressions (such as summing two layers) to visualize overlapping coverage or gaps. Navigator integrates with the ATT&CK Navigator, enabling unified views across both traditional and AI-specific threat frameworks.