MITRE ATLAS
IT 위키
더 많은 작업
- MITRE ATLAS; Adversarial Threat Landscape for Artificial-Intelligence Systems
- AI 시스템을 겨냥한 공격자의 전술, 기법, 실제 사례를 MITRE ATT&CK 형식으로 정리한 공개 지식 베이스
MITRE ATLAS(Adversarial Threat Landscape for Artificial-Intelligence Systems)는 미국 비영리 연구기관 MITRE가 운영하는 AI 위협 지식 베이스다. MITRE ATT&CK처럼 공격자가 달성하려는 목적(전술)과 그 방법(기법)을 행렬로 배열하고, 완화책과 사례 연구를 붙였다. 공식 데이터는 ATLAS를 "AI가 관련된 공격자 전술·기법의 살아 있는 지식 베이스"로 소개하며, AI 기반 시스템에 대한 공격, AI 기능의 악용·조작, AI가 실질적으로 가능하게 한 해로운 자율 행동을 범위로 든다. 내용은 실제 공격 관찰과 AI 레드팀·보안 조직의 현실적 시연을 근거로 한다.[1]
2026년 9월 15일 배포된 콘텐츠 판 2026.09 기준으로 전술 16개, 기법 120개(하위 기법 88개 별도), 완화책 40개, 사례 연구 73개가 있다.[1][2] 거의 매달 새 판이 나온다.
NIST AI 100-2가 공격을 목표·능력·지식이라는 성질로 나눈다면, ATLAS는 공격자가 침투해서 목적을 이루기까지 거치는 단계와 실제로 관찰된 행동으로 나눈다. 그래서 보안 관제, 레드팀, 위협 인텔리전스처럼 이미 ATT&CK을 쓰는 조직이 AI 시스템까지 같은 언어로 다루는 데 쓰인다.
| 날짜 | 내용 |
|---|---|
| 2020-10-22 | 마이크로소프트와 MITRE가 IBM, 엔비디아, 보쉬 등 11개 조직과 함께 Adversarial ML Threat Matrix를 공개. ATT&CK과 같은 구조로 만들어 보안 분석가가 익숙한 틀로 ML 위협을 볼 수 있게 했다. 마이크로소프트가 28개 조직을 조사했더니 25곳이 ML 시스템을 지킬 도구가 없다고 답했다는 결과도 함께 발표했다[3] |
| 2021 | 이름을 ATLAS로 바꾸고 atlas.mitre.org에 대화형 행렬, 새 사례 연구, ATLAS Navigator를 공개[4]. 데이터 1.0.0(2021-02-17), 2.0.0(2021-05-13) |
| 2023-10-25 | 데이터 4.5.0. 권한 상승, 자격증명 접근 전술 추가. LLM 프롬프트 인젝션, LLM 탈옥 같은 LLM 기법이 이때부터 들어옴 |
| 2025-04-22 | 데이터 4.9.0. 명령 및 제어 전술 추가. 기법 이름과 설명의 "ML(머신러닝)"을 "AI"로 통일(ML Model Access → AI Model Access 등) |
| 2025-09-30 | 데이터 5.0.0. 기법마다 성숙도(maturity) 필드 추가 |
| 2025-11-06 | 데이터 5.1.0. 내부 확산 전술 추가로 전술 16개. 에이전트 권한 설정 등 에이전트 완화책 추가 |
| 2026-05-27 | 콘텐츠 판(YYYY.MM)과 데이터 형식 판(유의적 버전)을 분리. 모든 기법에 플랫폼(예측형 AI, 생성형 AI, 에이전트 AI, 엔터프라이즈) 표시 |
| 2026-08-31 | 2026.08. "AI Attack Staging" 전술 이름을 "AI Attack Adaptation"으로 변경 |
| 2026-09-15 | 2026.09 배포 |
2021년 이후 항목은 공식 데이터 저장소의 변경 기록과 배포 목록 기준이다.[1] 데이터에 기록된 ATLAS 컬렉션 생성일은 2020-10-23이다.[2]
공식 저장소에 남아 있는 판별 데이터 파일로 규모의 변화를 보면 다음과 같다. 특히 2025년 하반기부터 에이전트 관련 기법과 사례가 빠르게 늘었다.
| 콘텐츠 판 | 기법(하위 기법 포함) | 완화책 | 사례 연구 |
|---|---|---|---|
| 2023.10 | 46 (82) | 19 | 22 |
| 2024.10 | 52 (91) | 26 | 26 |
| 2025.03 | 60 (104) | 26 | 27 |
| 2025.11 | 84 (140) | 32 | 42 |
| 2026.01 | 92 (148) | 35 | 48 |
| 2026.09 | 120 (208) | 40 | 73 |
ATT&CK과 같은 계층이다.
- 전술(Tactic, AML.TA0000 형식): 공격자의 단계별 목적. 행렬의 열이다.
- 기법(Technique, AML.T0000 형식)과 하위 기법(AML.T0000.000 형식): 목적을 이루는 방법. 한 기법이 여러 전술에 속할 수 있다.
- 완화책(Mitigation, AML.M0000 형식): 기법을 막거나 줄이는 대책.
- 사례 연구(Case Study, AML.CS0000 형식): 실제 사건(Incident)이나 연구·레드팀 시연(Exercise)을 기법의 연쇄로 기술한 것.
기법마다 두 가지 꼬리표가 붙는다.[1]
- 성숙도: Feasible(연구·학술 환경에서 작동이 확인됨), Demonstrated(현실적인 AI 시스템에 대한 레드팀 훈련이나 시연에서 효과가 확인됨), Realized(위협 행위자가 실제 사건에서 사용함). 2026.09에서는 하위 기법까지 208개 가운데 Realized 101개, Demonstrated 83개, Feasible 24개다.[2]
- 플랫폼: 예측형 AI, 생성형 AI, 에이전트 AI, 엔터프라이즈. 2026.09 기법 120개 가운데 에이전트 AI 표시가 76개, 생성형 AI 61개, 엔터프라이즈 51개, 예측형 AI 41개다(중복 표시).[2]
2026.09 행렬의 열 순서다. 한국어 이름은 IT위키 MITRE ATT&CK 문서의 표기를 따랐고, ATT&CK에 대응 전술이 있으면 ATT&CK ID를 함께 적었다. 기법 수는 하위 기법을 뺀 수다.[2]
| 순서 | ID | 전술 | ATT&CK 대응 | 기법 수 | 대표 기법 |
|---|---|---|---|---|---|
| 1 | AML.TA0002 | 정찰(Reconnaissance) | TA0043 | 9 | 공개 기술 자료 검색, 피해 조직 웹사이트 검색, RAG에 색인된 대상 수집, 자율 정찰 |
| 2 | AML.TA0003 | 자원 개발(Resource Development) | TA0042 | 9 | 공개 AI 산출물 확보, 역량 개발, 환각된 개체 게시(Publish Hallucinated Entities), 오염된 AI 산출물 게시 |
| 3 | AML.TA0001 | AI 공격 적응(AI Attack Adaptation, 2026-08 전 이름 AI Attack Staging) | 없음(AI 고유) | 11 | 대리 모델 생성, 적대적 데이터 제작, 공격 검증, LLM 프롬프트 제작, 딥페이크 생성, 자율 공격 오케스트레이션 |
| 4 | AML.TA0004 | 초기 침투(Initial Access) | TA0001 | 10 | AI 공급망 침해, 유효 계정, AI 모델 회피, 공개 애플리케이션 취약점 악용, 피싱, 노출된 AI 서비스 |
| 5 | AML.TA0000 | AI 모델 접근(AI Model Access) | 없음(AI 고유) | 4 | 추론 API 접근, 물리 환경 접근, 모델 전체 접근, AI 기반 제품·서비스 이용 |
| 6 | AML.TA0005 | 실행(Execution) | TA0002 | 6 | 사용자 실행, 명령·스크립트 인터프리터, LLM 프롬프트 인젝션, AI 에이전트 도구 호출, AI 에이전트 배포 |
| 7 | AML.TA0006 | 지속성 확보(Persistence) | TA0003 | 11 | AI 모델 조작, 학습 데이터 중독, LLM 프롬프트 자기 복제, RAG 중독, AI 에이전트 컨텍스트 중독, AI 에이전트 도구 중독 |
| 8 | AML.TA0012 | 권한 상승(Privilege Escalation) | TA0004 | 4 | 유효 계정, AI 에이전트 도구 호출, LLM 탈옥, 호스트로 탈출 |
| 9 | AML.TA0007 | 방어 회피(Defense Evasion) | TA0005 | 18 | AI 모델 회피, LLM 탈옥, LLM 프롬프트 난독화, 허위 RAG 항목 주입, AI 공급망 러그 풀, 다중 양식 입력 속 트리거 |
| 10 | AML.TA0013 | 자격증명 접근(Credential Access) | TA0006 | 7 | 보호되지 않은 자격증명, RAG 자격증명 수집, AI 에이전트 설정 속 자격증명 |
| 11 | AML.TA0008 | 탐색(Discovery) | TA0007 | 10 | AI 산출물 탐색, 모델 계열 파악, LLM 환각 탐색, LLM 시스템 정보 탐색, AI 에이전트 설정 탐색 |
| 12 | AML.TA0015 | 내부 확산(Lateral Movement) | TA0008 | 5 | 유효 계정, 피싱, AI 에이전트 도구 호출, 원격 서비스 악용 |
| 13 | AML.TA0009 | 수집(Collection) | TA0009 | 6 | AI 산출물 수집, 정보 저장소 데이터, AI 서비스 데이터 |
| 14 | AML.TA0014 | 명령 및 제어(Command and Control) | TA0011 | 5 | AI 서비스 API, AI 에이전트, AI 산출물 저장소를 통한 통신 |
| 15 | AML.TA0010 | 유출(Exfiltration) | TA0010 | 6 | AI 추론 API를 통한 유출, LLM 시스템 프롬프트 추출, LLM 데이터 유출, AI 에이전트 도구 호출을 통한 유출 |
| 16 | AML.TA0011 | 영향(Impact) | TA0040 | 10 | AI 서비스 거부, AI 모델 무결성 훼손, 비용 수확(Cost Harvesting), 외부 피해, AI 에이전트 도구 호출을 통한 데이터 파괴 |
ATT&CK에 없는 AI 고유 전술은 "AI 모델 접근"과 "AI 공격 적응" 두 개다. AI 모델 접근은 공격자가 모델에 어느 수준으로 접근하는지(API, 물리 환경, 가중치 전체)를 나타내고, AI 공격 적응은 대리 모델을 만들어 적대적 입력을 다듬고 효과를 검증하는 등 AI를 겨냥한 공격을 준비하는 단계다. 데이터 파일에 따르면 2026.09 기법 120개 가운데 31개(하위 기법 포함 208개 가운데 44개)가 ATT&CK 기법을 참조한다.[2]
AI 고유 기법 가운데 다른 IT위키 문서와 바로 이어지는 것들이다.[2]
| ID | 기법 | 하위 기법 | 관련 문서 |
|---|---|---|---|
| AML.T0043 | Craft Adversarial Data(적대적 데이터 제작) | 화이트박스 최적화, 블랙박스 최적화, 블랙박스 전이, 수작업 수정, 백도어 트리거 삽입 | 적대적 예제 |
| AML.T0015 | Evade AI Model(AI 모델 회피) | 적대적 예제 | |
| AML.T0020 | Training Data Poisoning(학습 데이터 중독) | 데이터 오염 공격 | |
| AML.T0018 | Manipulate AI Model(AI 모델 조작) | 프롬프트 구성 로직 수정 등 | 백도어 공격 (인공지능) |
| AML.T0010 | AI Supply Chain Compromise(AI 공급망 침해) | 하드웨어, AI 소프트웨어, 데이터, 모델, 컨테이너 레지스트리, AI 에이전트 도구 | AI 공급망 보안 |
| AML.T0024 | Exfiltration via AI Inference API(AI 추론 API를 통한 유출) | 학습 데이터 멤버십 추론, AI 모델 인버전, AI 모델 추출 | 멤버십 추론 공격, 모델 인버전 공격, 모델 추출 공격 |
| AML.T0051 | LLM Prompt Injection(LLM 프롬프트 인젝션) | 직접, 간접, 트리거형 | 프롬프트 인젝션, 간접 프롬프트 인젝션 |
| AML.T0054 | LLM Jailbreak(LLM 탈옥) | 탈옥 (인공지능) | |
| AML.T0056 | Extract LLM System Prompt(LLM 시스템 프롬프트 추출) | 시스템 프롬프트 유출 | |
| AML.T0060 | Publish Hallucinated Entities(환각된 개체 게시) | 슬롭스쿼팅 | |
| AML.T0070 | RAG Poisoning(RAG 중독) | RAG (인공지능) | |
| AML.T0080 | AI Agent Context Poisoning(AI 에이전트 컨텍스트 중독) | 메모리, 스레드 | AI 에이전트 보안 |
| AML.T0110 | AI Agent Tool Poisoning(AI 에이전트 도구 중독) | 정의와 지시문, 구현, 실행 중 응답 | 툴 포이즈닝 |
| AML.T0109 | AI Supply Chain Rug Pull(AI 공급망 러그 풀) | 툴 포이즈닝 | |
| AML.T0029, AML.T0034 | Denial of AI Service(AI 서비스 거부), Cost Harvesting(비용 수확) | 무제한 소비 (인공지능) | |
| AML.T0088 | Generate Deepfakes(딥페이크 생성) | 딥페이크, AI 기반 사이버 공격 | |
| AML.T0124 | Autonomous Attack Orchestration(자율 공격 오케스트레이션) | AI 기반 사이버 공격 |
2026.09의 완화책 전체를 주제별로 묶었다. 묶음은 이 문서가 나눈 것이고 ID와 이름은 원문 그대로다.[2]
| 주제 | 완화책 |
|---|---|
| 정보·산출물 공개 제한 | M0000 Limit Public Release of Information, M0001 Limit Model Artifact Release, M0017 AI Model Distribution Methods |
| 예측형 모델 강화 | M0002 Predictive AI Output Obfuscation, M0003 Predictive AI Model Hardening, M0006 Predictive AI Ensembles, M0009 Predictive AI Multi-Sensor Fusion, M0010 Predictive AI Input Restoration, M0015 Predictive AI Adversarial Input Detection |
| 접근 통제·자원 제한 | M0004 Limit AI Service Query Volume and Rate, M0005 Control Access to AI Models and Data at Rest, M0019 Control Access to AI Models and Data in Production, M0036 Limit AI Workload Resource Consumption |
| 데이터·모델 무결성과 공급망 | M0007 Sanitize Training Data, M0008 Validate AI Model, M0011 Restrict Library Loading, M0012 Encrypt Sensitive Information, M0013 Code Signing, M0014 Verify AI Artifacts, M0016 Vulnerability Scanning, M0023 AI Bill of Materials, M0025 Maintain AI Dataset Provenance |
| 생성형 AI | M0020 Generative AI Guardrails, M0021 Generative AI Guidelines, M0022 Generative AI Model Alignment, M0034 Deepfake Detection |
| AI 에이전트 | M0026 Privileged AI Agent Permissions Configuration, M0027 Single-User AI Agent Permissions Configuration, M0028 AI Agent Tools Permissions Configuration, M0029 Human In-the-Loop for AI Agent Actions, M0030 Restrict AI Agent Tool Invocation on Untrusted Data, M0031 Memory Hardening, M0032 Segmentation of AI Agent Components, M0033 Input and Output Validation for AI Agent Components, M0037 AI Agent Authority Expansion Controls, M0038 AI Agent Scope Drift Detection |
| 운영·조직 | M0018 User Training, M0024 AI Telemetry Logging, M0035 AI Red Team, M0039 AI Honeypots |
완화책 이름의 "AI Bill of Materials"는 SBOM의 AI판, "Generative AI Guardrails"는 AI 가드레일, "AI Red Team"은 인공지능 레드티밍에 해당한다.
2026.09의 사례 연구 73건 가운데 실제 사건(Incident)이 23건, 연구·레드팀 시연(Exercise)이 50건이다. 각 사례는 공격 단계를 ATLAS 기법 ID의 연쇄로 기록한다. 대표 사례는 다음과 같다(날짜는 데이터에 기록된 사건·발표 시점).[2]
| ID | 사례 | 유형 | 날짜 | 내용 |
|---|---|---|---|---|
| AML.CS0009 | Tay Poisoning | 사건 | 2016-03 | 마이크로소프트 챗봇 Tay가 사용자들의 악의적 입력을 학습해 부적절한 발언을 쏟아냄 |
| AML.CS0003 | Bypassing Cylance's AI Malware Detection | 시연 | 2019-09 | ML 기반 백신을 우회하는 문자열을 악성코드에 붙여 탐지를 피함 |
| AML.CS0007 | GPT-2 Model Replication | 시연 | 2019-08 | 공개 정보만으로 대형 언어 모델을 재현 |
| AML.CS0023 | ShadowRay: Hijacking Exposed Ray Clusters | 사건 | 2023-09 | 인터넷에 노출된 Ray 분산 학습 클러스터를 장악 |
| AML.CS0022 | ChatGPT Package Hallucination | 시연 | 2024-06 | LLM이 지어낸 패키지 이름을 공격자가 선점하는 공격(슬롭스쿼팅) |
| AML.CS0024 | Morris II Worm: RAG-Based Attack | 시연 | 2024-03 | RAG 기반 이메일 비서 사이에서 자기 복제하는 프롬프트 |
| AML.CS0031 | Malicious Models on Hugging Face | 사건 | 2025-02 | 허깅 페이스에 올라온 악성 모델 파일 |
| AML.CS0059 | EchoLeak | 시연 | 2025-05 | 이메일 한 통으로 Microsoft 365 Copilot에서 사용자 조작 없이 데이터를 빼내는 간접 프롬프트 인젝션 |
| AML.CS0069 | GTG-1002 Claude Code Espionage Campaign | 사건 | 2025-09 | 앤트로픽이 보고한 사례. 위협 행위자가 탈옥시킨 AI 코딩 에이전트로 약 30개 조직을 겨냥한 사이버 첩보 활동을 벌여 일부에서 성공 |
| AML.CS0056 | Model Distillation Campaigns Targeting Anthropic Claude | 사건 | 2026-02 | 앤트로픽이 보고한 사례. 약 2만 4천 개 계정과 1600만 회 질의로 모델 출력을 모아 자기 모델을 학습시키는 증류 방식의 능력 추출 시도 |
더 많은 실제 사례는 인공지능 관련 해킹 사례 문서에 정리되어 있다.
- 구조와 ID 형식이 ATT&CK과 같고, 16개 전술 가운데 14개가 ATT&CK Enterprise 전술과 대응한다. AI 시스템도 결국 서버, 계정, 네트워크 위에서 돌아가므로 초기 침투나 자격증명 탈취는 ATT&CK 기법을 그대로 참조한다.
- ATLAS는 ATT&CK의 하위 행렬이 아니라 별도 지식 베이스다. 관리 주체는 같은 MITRE지만 판 번호, 갱신 주기, ID 체계(AML. 접두어)가 따로다.
- 실무에서는 두 행렬을 함께 놓고, 일반 IT 구간은 ATT&CK으로, 모델·데이터·에이전트 구간은 ATLAS로 매핑한다.
MITRE ATLAS 깃허브 조직(mitre-atlas)에 공개된 것들이다.[5]
- atlas-data: 전술, 기법, 완화책, 사례 연구의 YAML 데이터와 검증 도구. 배포 때 엑셀, STIX, Navigator 레이어 형식도 함께 만든다.
- ATLAS Navigator: ATT&CK Navigator를 바탕으로 ATLAS 행렬을 탐색하고 주석을 다는 웹 앱
- atlas-navigator-data: ATLAS 데이터를 STIX JSON과 ATT&CK Navigator 레이어로 바꾼 결과물
- Arsenal: 적대적 공격 에뮬레이션 플랫폼 CALDERA에 AI 시스템 공격 에뮬레이션을 더하는 플러그인(2023년 공개)
- Almanac: CALDERA용 ATLAS 시각화 플러그인
- AI Risk Database: AI 공급망 위험(모델 저장소의 모델 등)을 조회하는 데이터베이스(2023년)
- ATLAS·OpenCTI 커넥터: 위협 인텔리전스 플랫폼 OpenCTI로 ATLAS 데이터를 가져오는 커넥터
- ATLAS Knowledge Base Agent: ATLAS 지식 그래프로 질문에 답하는 에이전트(2026년 공개)
- 위협 모델링: AI 시스템 구성도에 전술별 기법을 대어 보고 빠진 방어를 찾는다.
- 레드팀 시나리오: 사례 연구의 기법 연쇄를 그대로 시나리오로 쓰거나 Arsenal로 에뮬레이션한다(인공지능 레드티밍).
- 탐지 범위 관리: 보안 관제의 탐지 규칙을 ATLAS 기법 ID에 매핑해 공백을 찾는다. ATT&CK에서 쓰던 방법과 같다.
- 다른 목록과의 연결: OWASP Top 10 for LLM Applications 2026은 부록 A에서 각 항목을 ATLAS 2026.06 전술에 대응시켰다.[6]
| OWASP LLM Top 10(2026) | 주 대응 ATLAS 전술 |
|---|---|
| LLM01 프롬프트 인젝션 | 초기 침투, 실행, 지속성 확보, 방어 회피, 유출 |
| LLM02 민감 정보 유출 | 유출 |
| LLM03 과도한 위임 | 실행, 영향 |
| LLM04 공급망 | 초기 침투 |
| LLM05 데이터 및 모델 오염 | 자원 개발, 지속성 확보, 영향 |
| LLM06 무제한 소비 | 영향, 유출 |
| LLM07 허위 정보 | 영향 |
| LLM08 숨겨진 컨텍스트 노출 | 탐색, 유출 |
| LLM09 벡터 및 임베딩 취약점 | 지속성 확보, 유출 |
| LLM10 부적절한 출력 처리 | 실행 |
- 판이 거의 매달 바뀌고 이름과 ID도 바뀐다. 예를 들어 2026.07에서 "Publish Poisoned Datasets"(AML.T0019)와 "Publish Poisoned Models"(AML.T0058)가 "Publish Poisoned AI Artifacts"(AML.T0115)의 하위 기법으로 합쳐졌고,[1] 2026.08에는 전술 이름도 바뀌었다. 매핑을 만들 때는 콘텐츠 판을 함께 적어야 한다.
- 성숙도가 Feasible인 기법은 연구 환경에서만 확인된 것이다. 모든 기법이 실제 공격에서 관찰된 것은 아니다.
- 사례 연구는 공개된 사건과 연구에 한정되므로, 공개되지 않는 공격이나 방어가 잘된 공격은 덜 잡힌다.
- 공격자 관점의 분류라 조직의 거버넌스나 위험 관리 절차는 다루지 않는다. 이 부분은 NIST AI RMF나 ISO/IEC 42001 같은 관리 체계와 함께 써야 한다.
- ↑ 1.0 1.1 1.2 1.3 1.4 mitre-atlas/atlas-data CHANGELOG, MITRE ATLAS, GitHub.
- ↑ 2.0 2.1 2.2 2.3 2.4 2.5 2.6 2.7 2.8 ATLAS-2026.09.yaml, mitre-atlas/atlas-data, 2026-09-15. 이 문서의 집계와 목록은 이 파일을 직접 읽어 만든 것이다.
- ↑ Cyberattacks against machine learning systems are more common than you think, Microsoft Security Blog, 2020-10-22.
- ↑ mitre/advmlthreatmatrix, GitHub. 저장소 첫 화면의 "Announcing ATLAS" 안내.
- ↑ mitre-atlas, GitHub.
- ↑ OWASP Top 10 for LLM Applications 2026, OWASP GenAI Security Project, 2026-08-03. 부록 A의 MITRE ATLAS(content v2026.06) 대응표.