Las organizaciones que implementan inteligencia artificial se enfrentan a una nueva frontera de amenazas de seguridad que los marcos tradicionales nunca fueron diseñados para abordar. Según Cyber Insights 2025 de SecurityWeek, los ciberataques asistidos por IA aumentaron un 72 % solo en 2025. Esta escalada exige un enfoque estructurado para comprender y defenderse de las amenazas adversas a los sistemas de IA. Entra en escena el marco MITRE ATLAS, la primera base de conocimientos adversaria completa sobre aprendizaje automático diseñada específicamente para catalogar cómo los atacantes se dirigen a los sistemas de aprendizaje automático e inteligencia artificial.
Para los equipos de seguridad que ya están familiarizados con MITRE ATT&CK, ATLAS (a veces denominado Atlas MITRE en las búsquedas) ofrece una extensión natural al ámbito de la seguridad de la IA. Esta guía proporciona todo lo que los analistas de seguridad, los responsables de SOC y los ingenieros de IA necesitan para poner en práctica ATLAS frente a los ataques de IA adversarios, desde los fundamentos del marco hasta las estrategias prácticas de detección.
MITRE ATLAS es una base de conocimientos sobre inteligencia artificial adversaria accesible a nivel mundial que documenta las tácticas, técnicas y procedimientos (TTP) de los adversarios dirigidos específicamente a los sistemas de inteligencia artificial y aprendizaje automático. A menudo denominada base de conocimientos sobre IA adversaria MITRE ATLAS, proporciona a los equipos de seguridad un enfoque estructurado para comprender, detectar y defenderse de las amenazas específicas de la IA. Siguiendo el modelo MITRE ATT&CK , ampliamente adoptado, el marco MITRE ATLAS sirve como marco de seguridad de aprendizaje automático definitivo para el modelado de amenazas. El acrónimo significa «Paisaje de amenazas adversarias para sistemas de inteligencia artificial».
A fecha de octubre de 2025, el marco contiene 15 tácticas, 66 técnicas, 46 subtécnicas, 26 mitigaciones y 33 casos prácticos reales, según el registro oficial de cambios de MITRE ATLAS. Esto supone un crecimiento significativo con respecto a versiones anteriores, impulsado por la rápida evolución de las amenazas de IA.
El aprendizaje automático adversarial —el estudio de los ataques a los sistemas de aprendizaje automático y las defensas contra ellos— abarca cuatro categorías principales de ataques, según documenta el NIST: evasión, envenenamiento, privacidad y abusos. ATLAS organiza estos patrones de ataque en una estructura matricial que los profesionales de la seguridad pueden poner en práctica de inmediato.
MITRE creó ATLAS para abordar una brecha crítica en el panorama de la seguridad. Si bien ATT&CK cataloga eficazmente las amenazas a la infraestructura tradicional de TI y OT, carece de cobertura de los ataques que explotan las características únicas de los sistemas de aprendizaje automático. ATLAS llena este vacío al proporcionar el mismo enfoque riguroso y validado por la comunidad para la inteligencia de amenazas de IA.
El marco también se conecta con MITRE D3FEND, que proporciona contramedidas defensivas que las organizaciones pueden aplicar frente a las técnicas ATLAS.
Comprender la diferencia entre ATLAS y ATT&CK ayuda a los equipos de seguridad a determinar cuándo aplicar cada marco.
Tabla: Comparación entre los marcos MITRE ATT&CK MITRE ATLAS
ATLAS hereda 13 tácticas de ATT&CK, entre ellas Reconocimiento, Acceso inicial, Ejecución y Exfiltración, pero las aplica específicamente a contextos de IA. Las dos tácticas específicas de IA exclusivas de ATLAS son:
AML.TA0004): Describe cómo los adversarios obtienen acceso a los modelos de aprendizaje automático objetivo a través de API de inferencia o acceso directo a artefactos.AML.TA0012): Abarca cómo los adversarios preparan ataques dirigidos a modelos de aprendizaje automático, incluyendo el envenenamiento de datos de entrenamiento y puerta trasera inserciónLos equipos de seguridad deben utilizar ambos marcos conjuntamente para obtener una cobertura completa: ATT&CK para las amenazas tradicionales a la infraestructura y ATLAS para los vectores de ataque específicos de la IA.
La base de conocimientos oficial MITRE ATLAS organiza la información sobre amenazas utilizando la misma estructura matricial que ha hecho posible el éxito de ATT&CK. Comprender esta estructura permite detectar amenazas de forma eficaz y crear modelos de amenazas basados en inteligencia artificial.
La matriz MITRE ATLAS (a veces denominada matriz del marco MITRE para IA) muestra las tácticas en columnas y las técnicas en filas. Cada celda representa un método específico que utilizan los adversarios para alcanzar objetivos tácticos contra los sistemas de IA. Esta organización visual permite a los equipos de seguridad identificar rápidamente las lagunas en la cobertura y priorizar las defensas.
Los componentes del marco funcionan conjuntamente:
Los datos de ATLAS están disponibles en formato STIX 2.1, lo que permite una integración legible por máquina con herramientas y plataformas de seguridad. Este formato estandarizado admite la ingestión automatizada en plataformas de inteligencia sobre amenazas y sistemas SIEM.
El marco recibe actualizaciones periódicas gracias a las contribuciones de la comunidad y a la investigación continua de MITRE. La actualización de octubre de 2025, realizada en colaboración con Zenity Labs, añadió 14 nuevas técnicas centradas en los agentes, lo que demuestra la evolución activa del marco.
Las tácticas, técnicas y procedimientos (TTP) constituyen el vocabulario básico de la defensa basada en la información sobre amenazas. En ATLAS:
AML.TXXXX.AML.T0051) incluye sub-técnicas para métodos de inyección directa e indirecta.Esta jerarquía permite un modelado de amenazas cada vez más detallado. Los equipos pueden comenzar con un análisis de cobertura a nivel táctico y profundizar en técnicas específicas basadas en la exposición de su sistema de IA.
ATLAS organiza 66 técnicas en 15 tácticas que abarcan todo el ciclo de vida de la adversidad. Este desglose exhaustivo aborda una importante laguna de contenido identificada en el análisis de la competencia: ninguna guía existente cubre todas las tácticas con orientaciones centradas en la detección.
Tabla: Lista completa de las 15 tácticas de MITRE ATLAS con técnicas clave.
El ciclo de vida del ataque comienza con el reconocimiento, en el que los adversarios recopilan información sobre los sistemas de aprendizaje automático objetivo. Las técnicas clave incluyen:
AML.T0051): Los adversarios crean entradas maliciosas para manipular el comportamiento del LLM, lo que se corresponde con OWASP LLM01.Estas tácticas específicas de la IA describen cómo los adversarios interactúan con los modelos de aprendizaje automático y los explotan:
Los actores maliciosos mantienen el acceso y evitan ser detectados mediante:
Las tácticas de etapas posteriores se centran en alcanzar los objetivos del adversario:
AML.T0020): El envenenamiento de datos corrompe los datos de entrenamiento para manipular el comportamiento del modelo, lo cual es crítico. exfiltración de datos vectorComprender los patrones de movimiento lateral ayuda a los equipos de seguridad a rastrear cómo avanzan los atacantes mediante estas tácticas.
ATLAS proporciona herramientas prácticas y gratuitas que transforman el marco de la documentación en capacidades de seguridad aplicables. Este ecosistema de herramientas aborda una importante laguna de contenido, ya que pocos competidores cubren estos recursos de forma exhaustiva.
Tabla: Ecosistema de herramientas oficiales de MITRE ATLAS
ATLAS Navigator proporciona una interfaz web interactiva para visualizar la matriz del marco. Los equipos de seguridad utilizan Navigator para:
Navigator se integra con ATT&CK Navigator, lo que permite obtener vistas unificadas en ambos marcos. Los equipos que ya utilizan ATT&CK Navigator se familiarizarán inmediatamente con la interfaz de ATLAS.
En marzo de 2023, Microsoft y MITRE anunciaron su colaboración en Arsenal, un complemento de CALDERA que permite la emulación automatizada de adversarios contra sistemas de IA. Arsenal implementa técnicas ATLAS sin necesidad de tener profundos conocimientos de aprendizaje automático.
Las capacidades clave incluyen:
Arsenal apoya la búsqueda de amenazas mediante la validación de la cobertura de detección frente a simulaciones de ataques realistas. Para los equipos de respuesta a incidentes, Arsenal ayuda a comprender las capacidades de los atacantes y a probar los procedimientos de respuesta.
La Iniciativa para compartir incidentes relacionados con la IA permite a las organizaciones compartir y aprender de los incidentes de seguridad relacionados con la IA. Esta plataforma impulsada por la comunidad ofrece:
Esta información se incorpora directamente a las actualizaciones de ATLAS, lo que garantiza que el marco refleje los patrones de amenaza actuales.
Los equipos de seguridad suelen preguntar qué marco de seguridad de IA deben adoptar. La respuesta: utilice los tres para obtener una cobertura complementaria. Esta comparación ayuda a los equipos a comprender cuándo aplicar cada marco, lo que responde a una pregunta habitual sobre la PAA.
Tabla: Comparación de marcos de seguridad de IA: ATLAS frente a OWASP frente a NIST AI RMF
Según el análisis de marcos de Cloudsine, estos marcos sirven para diferentes fases del ciclo de vida de la seguridad de la IA:
Tabla: Tabla comparativa del marco para vulnerabilidades comunes de IA
Comprender las vulnerabilidades en los tres marcos permite una cobertura integral. Los equipos deben asignar sus activos de IA a las técnicas pertinentes en cada marco.
La integración de ATLAS en las operaciones de seguridad requiere técnicas de mapeo de las capacidades de detección y los flujos de trabajo. Según la guía de integración SOC de ThreatConnect, aproximadamente el 70 % de las mitigaciones de ATLAS se corresponden con los controles de seguridad existentes. El 30 % restante requiere nuevos controles específicos de IA.
Pasos para la integración del SOC:
Una detección eficaz requiere asignar las técnicas ATLAS a fuentes de registro específicas y a la lógica de detección.
Tabla: Ejemplo de asignación de detección para técnicas ATLAS prioritarias.
Las capacidades de detección y respuesta de red complementan la detección en la capa de aplicación. El análisis del comportamiento de usuarios y entidades (UEBA) ayuda a identificar patrones de acceso anómalos a los sistemas de IA.
Realice un seguimiento de estas métricas para medir la operatividad de ATLAS:
Las revisiones trimestrales del modelo de amenazas garantizan que la cobertura se mantenga al día con las actualizaciones del marco y las amenazas emergentes.
ATLAS incluye 33 casos prácticos que documentan ataques reales contra sistemas de IA. El análisis de estos incidentes proporciona información defensiva útil que va más allá de la modelización teórica de amenazas.
En noviembre de 2025, MITRE ATLAS publicó un estudio de caso que documentaba ataques deepfake contra sistemas móviles de detección de vida KYC (Know Your Customer). Según la cobertura de Mobile ID World, este ataque se dirigió contra plataformas bancarias, de servicios financieros y de criptomonedas.
Progresión de la cadena de ataques:
Reconocimiento -> Desarrollo de recursos -> Acceso inicial -> Evasión de la defensa -> Impacto
Recomendaciones defensivas:
Este caso práctico muestra cómo los atacantes combinan la ingeniería social con herramientas de IA para burlar los controles de seguridad, lo que puede dar lugar a violaciones de datos.
El análisis HiddenLayer del caso práctico AML.CS0003 de ATLAS documenta cómo los investigadores eludieron un producto de seguridad para terminales basado en ML:
Las amenazas a la seguridad de la IA requieren enfoques de detección especializados que vayan más allá de los controles de seguridad tradicionales. Con un aumento del 72 % en los ataques asistidos por IA en 2025, las organizaciones necesitan estrategias de defensa proactivas.
Lista de verificación de defensa para la seguridad de la IA:
Las organizaciones deben alinear las inversiones en seguridad de IA con phishing ( phishing generado por IA phishing aumentando rápidamente) como con la defensa contra el ransomware (la IA permite ataques más sofisticados).
Los modelos de lenguaje grandes se enfrentan a vectores de ataque únicos que la seguridad tradicional no puede abordar. ATLAS cataloga estas amenazas de forma sistemática.
Tabla: Tipos de amenazas LLM con mapeo ATLAS y métodos de detección
Los CVE recientes demuestran estas amenazas en la práctica:
Las capacidades de detección y respuesta ante amenazas a la identidad ayudan a detectar intentos de robo de credenciales mediante la explotación de LLM.
La actualización de ATLAS de octubre de 2025 aborda específicamente los agentes autónomos de IA, es decir, sistemas que pueden realizar acciones, acceder a herramientas y mantener el contexto entre sesiones. Entre las nuevas técnicas se incluyen:
AML.T0058 Envenenamiento del contexto del agente de IA: Inyectar contenido malicioso en la memoria del agente o en el contexto del subproceso.AML.T0059 Desencadenantes de activación: Incorporación de desencadenantes que se activan en condiciones específicas.AML.T0060 Datos de los servicios de IA: Extracción de información mediante la recuperación de la base de datos RAG.AML.T0061 Herramientas para agentes de IA: Aprovechar el acceso a la herramienta del agente con fines maliciosos.AML.T0062 Exfiltración mediante la invocación de la herramienta AI Agent: Uso de llamadas a herramientas legítimas para extraer datos.Principios de seguridad para agentes de IA:
Según las directrices sobre IA/OT de la CISA de diciembre de 2025, las organizaciones deben incorporar medidas de supervisión y seguridad para todos los sistemas de IA que operan en entornos críticos.
El panorama de la seguridad de la IA evoluciona rápidamente, con la presión regulatoria y la colaboración de la industria impulsando la adopción de marcos normativos. Las organizaciones deben prepararse tanto para las amenazas emergentes como para los requisitos de cumplimiento normativo.
El programa MITRE Secure AI, respaldado por 16 organizaciones miembros, entre las que se incluyen Microsoft, CrowdStrike y JPMorgan Chase, se centra en ampliar ATLAS con observaciones del mundo real y agilizar el intercambio de incidentes relacionados con la IA.
Novedades normativas:
Las amenazas a la seguridad de la IA en 2025 muestran una aceleración continua, con un 87 % de las organizaciones que informan de su exposición a ciberataques impulsados por la IA, según un estudio del sector.
La metodología Attack Signal IntelligenceVectra AI aplica principios de detección basados en el comportamiento que se ajustan a los objetivos del marco ATLAS. Al centrarse en los comportamientos de los atacantes en lugar de en las firmas estáticas, las organizaciones pueden detectar las técnicas catalogadas en ATLAS, desde intentos de inyección inmediata hasta la exfiltración de datos a través de API de inferencia, en cloud híbrida.
Este enfoque permite a los equipos de seguridad identificar y priorizar las amenazas reales relacionadas con la IA, al tiempo que reduce el ruido de las alertas. La detección y respuesta de red, combinada con la detección de amenazas de identidad, proporciona visibilidad en toda la superficie de ataque a la que ahora se dirigen las amenazas de IA.
MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems, Panorama de amenazas adversarias para sistemas de inteligencia artificial) es una base de conocimientos accesible a nivel mundial que cataloga tácticas, técnicas y casos prácticos de adversarios dirigidos específicamente a sistemas de inteligencia artificial y aprendizaje automático. Siguiendo el modelo de MITRE ATT&CK, ATLAS proporciona un marco estructurado para comprender las amenazas específicas de la inteligencia artificial. A fecha de octubre de 2025, contiene 15 tácticas, 66 técnicas, 46 subtécnicas, 26 mitigaciones y 33 casos prácticos reales. Los equipos de seguridad utilizan ATLAS para el modelado de amenazas, el desarrollo de la detección y los sistemas de IA de equipos rojos. El marco está disponible gratuitamente en atlas.mitre.org.
Mientras que ATT&CK se centra en las amenazas tradicionales de TI/TO, ATLAS aborda específicamente los ataques dirigidos a los sistemas de IA y aprendizaje automático. ATLAS incluye dos tácticas únicas que no se encuentran en ATT&CK: Acceso al modelo de aprendizaje automático (AML.TA0004) y ML Attack Staging (AML.TA0012). Ambos marcos utilizan la misma estructura matricial y la misma metodología TTP, lo que hace que ATLAS sea accesible para los equipos de seguridad que ya están familiarizados con ATT&CK. Las organizaciones deben utilizar ambos marcos conjuntamente: ATT&CK para las amenazas a la infraestructura y ATLAS para los vectores de ataque específicos de la IA. Los marcos comparten tácticas comunes, pero las aplican a contextos tecnológicos diferentes.
A fecha de octubre de 2025, MITRE ATLAS contiene 15 tácticas, 66 técnicas y 46 subtécnicas. La actualización de octubre de 2025 añadió 14 nuevas técnicas centradas en agentes gracias a la colaboración con Zenity Labs, que abordan los riesgos de seguridad de los agentes de IA autónomos. El marco también incluye 26 mitigaciones y 33 casos prácticos. Esto representa un crecimiento significativo con respecto a versiones anteriores: algunas fuentes más antiguas citan 56 técnicas, lo que refleja los recuentos anteriores a octubre de 2025. Consulte siempre el REGISTRO DE CAMBIOS oficial de ATLAS para obtener las estadísticas actuales.
Inyección rápida (AML.T0051) es una técnica de acceso inicial en la que los adversarios crean entradas maliciosas para manipular el comportamiento del LLM. ATLAS distingue entre la inyección directa de comandos (contenido malicioso en la entrada del usuario) y la inyección indirecta de comandos (contenido malicioso incrustado en fuentes de datos externas que procesa el LLM). Esta técnica se corresponde con OWASP LLM01 y representa uno de los vectores de ataque más comunes contra las aplicaciones LLM. La detección se centra en el análisis de patrones de entrada y la supervisión del comportamiento de salida. CVE recientes, como CVE-2025-32711 (EchoLeak), demuestran su explotación en el mundo real.
Utilice ATLAS Navigator para visualizar el marco y crear capas personalizadas que asignen sus activos de IA a las técnicas pertinentes. Comience por hacer un inventario de todos los modelos de aprendizaje automático, los procesos de formación y las aplicaciones habilitadas para la IA. Identifique qué tácticas se aplican a las etapas de su proceso de aprendizaje automático en función de la arquitectura del sistema. Priorice las técnicas en función de la exposición y la probabilidad. Asigne capacidades de detección para crear visualizaciones de cobertura. Integre ATLAS en metodologías de modelado de amenazas existentes, como STRIDE junto con ATT&CK, para obtener una cobertura completa. Revise y actualice los modelos de amenazas trimestralmente a medida que evoluciona el marco.
ATLAS ofrece varias herramientas gratuitas. Navigator proporciona visualización matricial basada en web para el modelado de amenazas y el mapeo de cobertura. Arsenal es un complemento de CALDERA para la creación automatizada de equipos rojos de IA, desarrollado en colaboración con Microsoft. La Iniciativa para compartir incidentes de IA permite compartir información sobre amenazas de la comunidad a través de informes de incidentes anónimos. La Base de datos de riesgos de IA proporciona información sobre incidentes y vulnerabilidades que se puede buscar. Se puede acceder a todas las herramientas en atlas.mitre.org y a través de los repositorios GitHub de MITRE. Estas herramientas transforman ATLAS de documentación en capacidades de seguridad prácticas.
ATLAS y OWASP LLM Top 10 tienen fines complementarios. ATLAS proporciona un marco TTP centrado en el adversario para el modelado y la detección de amenazas, mientras que OWASP ofrece una lista de vulnerabilidades centrada en el desarrollador para un desarrollo seguro. Utilice OWASP durante las fases de desarrollo y revisión del código; utilice ATLAS para la seguridad operativa, el modelado de amenazas y el desarrollo de la detección. Muchas vulnerabilidades aparecen en ambos marcos con diferentes perspectivas; por ejemplo, la inyección inmediata es una técnica de ATLAS. AML.T0051 y OWASP LLM01. El mejor enfoque combina ambos marcos con NIST AI RMF para la gobernanza.