Le organizzazioni che implementano l'intelligenza artificiale devono affrontare una nuova frontiera di minacce alla sicurezza che i framework tradizionali non sono stati progettati per affrontare. Secondo Cyber Insights 2025 di SecurityWeek, gli attacchi informatici assistiti dall'IA sono aumentati del 72% solo nel 2025. Questa escalation richiede un approccio strutturato per comprendere e difendersi dalle minacce ostili ai sistemi di IA. Entra in gioco il framework MITRE ATLAS, la prima base di conoscenze completa sul machine learning ostile progettata specificamente per catalogare il modo in cui gli aggressori prendono di mira i sistemi di machine learning e AI.
Per i team di sicurezza che hanno già familiarità con MITRE ATT&CK, ATLAS (talvolta indicato come Atlas MITRE nelle ricerche) rappresenta una naturale estensione nel campo della sicurezza AI. Questa guida fornisce tutto ciò di cui gli analisti della sicurezza, i responsabili SOC e gli ingegneri AI hanno bisogno per rendere operativo ATLAS contro gli attacchi AI avversari, dai fondamenti del framework alle strategie di rilevamento pratiche.
MITRE ATLAS è una base di conoscenze ML avversaria accessibile a livello globale che documenta tattiche, tecniche e procedure (TTP) avversarie specificamente mirate ai sistemi di intelligenza artificiale e machine learning. Spesso denominata base di conoscenze avversaria MITRE ATLAS sull'intelligenza artificiale, fornisce ai team di sicurezza un approccio strutturato per comprendere, rilevare e difendersi dalle minacce specifiche dell'intelligenza artificiale. Modellato sul MITRE ATT&CK ampiamente adottato, il framework MITRE ATLAS funge da framework di sicurezza definitivo per l'apprendimento automatico per la modellazione delle minacce. L'acronimo sta per Adversarial Threat Landscape for Artificial-Intelligence Systems (Panorama delle minacce avversarie per i sistemi di intelligenza artificiale).
A ottobre 2025, secondo il CHANGELOG ufficiale di MITRE ATLAS, il framework contiene 15 tattiche, 66 tecniche, 46 sottotecniche, 26 misure di mitigazione e 33 casi di studio reali. Ciò rappresenta una crescita significativa rispetto alle versioni precedenti, guidata dalla rapida evoluzione delle minacce legate all'intelligenza artificiale.
Il machine learning avversario, ovvero lo studio degli attacchi ai sistemi di machine learning e delle relative difese, comprende quattro categorie principali di attacchi, come documentato dal NIST: attacchi di evasione, avvelenamento, privacy e abuso. ATLAS organizza questi modelli di attacco in una struttura a matrice che gli esperti di sicurezza possono utilizzare immediatamente.
MITRE ha creato ATLAS per colmare una lacuna critica nel panorama della sicurezza. Sebbene ATT&CK cataloghi efficacemente le minacce alle infrastrutture IT e OT tradizionali, non copre gli attacchi che sfruttano le caratteristiche uniche dei sistemi di apprendimento automatico. ATLAS colma questa lacuna fornendo lo stesso approccio rigoroso e convalidato dalla comunità all'intelligence sulle minacce AI.
Il framework si collega anche a MITRE D3FEND, che fornisce contromisure difensive che le organizzazioni possono mappare rispetto alle tecniche ATLAS.
Comprendere la differenza tra ATLAS e ATT&CK aiuta i team di sicurezza a determinare quando applicare ciascun framework.
Tabella: Confronto tra i framework MITRE ATT&CK MITRE ATLAS
ATLAS eredita 13 tattiche da ATT&CK, tra cui Ricognizione, Accesso iniziale, Esecuzione ed Esfiltrazione, ma le applica specificamente ai contesti di IA. Le due tattiche specifiche per l'IA esclusive di ATLAS sono:
AML.TA0004): Descrive come gli avversari ottengono l'accesso ai modelli ML di destinazione tramite API di inferenza o accesso diretto agli artefatti.AML.TA0012): Descrive come gli avversari preparano gli attacchi mirati ai modelli ML, compreso il danneggiamento dei dati di addestramento e porta sul retro inserimentoI team di sicurezza dovrebbero utilizzare entrambi i framework insieme per ottenere una copertura completa: ATT&CK per le minacce tradizionali all'infrastruttura e ATLAS per i vettori di attacco specifici dell'IA.
La knowledge base ufficiale MITRE ATLAS organizza le informazioni sulle minacce utilizzando la stessa struttura a matrice che ha determinato il successo di ATT&CK. Comprendere questa struttura consente un rilevamento efficace delle minacce e la modellazione delle minacce tramite IA.
La matrice MITRE ATLAS (talvolta denominata matrice MITRE per l'IA) mostra le tattiche nelle colonne e le tecniche nelle righe. Ogni cella rappresenta un metodo specifico utilizzato dagli avversari per raggiungere obiettivi tattici contro i sistemi di IA. Questa organizzazione visiva consente ai team di sicurezza di identificare rapidamente le lacune nella copertura e dare priorità alle difese.
I componenti del framework funzionano insieme:
I dati ATLAS sono disponibili in formato STIX 2.1, che consente l'integrazione leggibile da dispositivi automatici con strumenti e piattaforme di sicurezza. Questo formato standardizzato supporta l'acquisizione automatizzata in piattaforme di intelligence sulle minacce e sistemi SIEM.
Il framework riceve aggiornamenti regolari grazie ai contributi della comunità e alla ricerca continua di MITRE. L'aggiornamento di ottobre 2025, realizzato in collaborazione con Zenity Labs, ha aggiunto 14 nuove tecniche incentrate sugli agenti, dimostrando l'evoluzione attiva del framework.
Tattiche, tecniche e procedure (TTP) costituiscono il vocabolario fondamentale della difesa informata sulle minacce. In ATLAS:
AML.TXXXX.AML.T0051) include sottotecniche per metodi di iniezione diretta e indiretta.Questa gerarchia consente una modellizzazione delle minacce progressivamente dettagliata. I team possono iniziare con un'analisi della copertura a livello tattico e approfondire tecniche specifiche in base all'esposizione del proprio sistema di IA.
ATLAS organizza 66 tecniche in 15 tattiche che coprono l'intero ciclo di vita dell'avversario. Questa analisi completa colma una significativa lacuna individuata nell'analisi della concorrenza: nessuna guida esistente copre tutte le tattiche con indicazioni incentrate sul rilevamento.
Tabella: Elenco completo delle 15 tattiche MITRE ATLAS con tecniche chiave
Il ciclo di vita dell'attacco inizia con la ricognizione, durante la quale gli avversari raccolgono informazioni sui sistemi ML bersaglio. Le tecniche principali includono:
AML.T0051): Gli avversari creano input dannosi per manipolare il comportamento dell'LLM — questo corrisponde a OWASP LLM01Queste tattiche specifiche dell'IA descrivono il modo in cui gli avversari interagiscono con i modelli ML e li sfruttano:
Gli autori delle minacce mantengono l'accesso ed evitano il rilevamento attraverso:
Le tattiche nelle fasi successive si concentrano sul raggiungimento degli obiettivi dell'avversario:
AML.T0020): Il data poisoning corrompe i dati di addestramento per manipolare il comportamento del modello — un fattore critico esfiltrazione dei dati vettoreComprendere i modelli di movimento laterale aiuta i team di sicurezza a monitorare come gli aggressori avanzano attraverso queste tattiche.
ATLAS fornisce strumenti pratici gratuiti che trasformano il framework da documentazione in funzionalità di sicurezza utilizzabili. Questo ecosistema di strumenti colma una grave lacuna in termini di contenuti: pochi concorrenti offrono una copertura completa di queste risorse.
Tabella: Ecosistema degli strumenti ufficiali MITRE ATLAS
ATLAS Navigator offre un'interfaccia web interattiva per visualizzare la matrice del framework. I team di sicurezza utilizzano Navigator per:
Navigator si integra con ATT&CK Navigator, consentendo una visione unificata di entrambi i framework. I team che già utilizzano ATT&CK Navigator troveranno l'interfaccia ATLAS immediatamente familiare.
Nel marzo 2023, Microsoft e MITRE hanno annunciato una collaborazione su Arsenal, un plugin CALDERA che consente l'emulazione automatizzata di avversari contro i sistemi di intelligenza artificiale. Arsenal implementa le tecniche ATLAS senza richiedere una profonda competenza nel campo dell'apprendimento automatico.
Le funzionalità principali includono:
Arsenal supporta la ricerca delle minacce convalidando la copertura di rilevamento rispetto a simulazioni di attacchi realistiche. Per i team di risposta agli incidenti, Arsenal aiuta a comprendere le capacità degli aggressori e a testare le procedure di risposta.
L'iniziativa AI Incident Sharing Initiative consente alle organizzazioni di condividere e imparare dagli incidenti di sicurezza legati all'intelligenza artificiale. Questa piattaforma gestita dalla comunità offre:
Queste informazioni confluiscono direttamente negli aggiornamenti di ATLAS, garantendo che il framework rifletta gli attuali modelli di minaccia.
I team di sicurezza spesso chiedono quale framework di sicurezza AI adottare. La risposta: utilizzate tutti e tre per una copertura complementare. Questo confronto aiuta i team a capire quando applicare ciascun framework, rispondendo a una domanda comune relativa al PAA.
Tabella: Confronto tra i framework di sicurezza dell'IA: ATLAS vs OWASP vs NIST AI RMF
Secondo l'analisi dei framework condotta da Cloudsine, questi framework servono diverse fasi del ciclo di vita della sicurezza dell'IA:
Tabella: Quadro di riferimento incrociato per le vulnerabilità comuni dell'IA
Comprendere le vulnerabilità in tutti e tre i framework consente una copertura completa. I team dovrebbero mappare le proprie risorse di IA alle tecniche pertinenti in ciascun framework.
L'integrazione di ATLAS nelle operazioni di sicurezza richiede tecniche di mappatura delle capacità di rilevamento e dei flussi di lavoro. Secondo la guida all'integrazione SOC di ThreatConnect, circa il 70% delle mitigazioni ATLAS è mappato sui controlli di sicurezza esistenti. Il restante 30% richiede nuovi controlli specifici per l'IA.
Passaggi per l'integrazione SOC:
Per garantire un rilevamento efficace è necessario mappare le tecniche ATLAS a specifiche fonti di log e logiche di rilevamento.
Tabella: Esempio di mappatura di rilevamento per tecniche ATLAS prioritarie
Le funzionalità di rilevamento e risposta della rete integrano il rilevamento a livello di applicazione. L'analisi del comportamento degli utenti e delle entità (UEBA) aiuta a identificare modelli di accesso anomali ai sistemi di IA.
Monitorare questi parametri per misurare l'operatività di ATLAS:
Le revisioni trimestrali dei modelli di minaccia garantiscono che la copertura sia al passo con gli aggiornamenti del framework e le minacce emergenti.
ATLAS include 33 casi di studio che documentano attacchi reali contro sistemi di IA. L'analisi di questi incidenti fornisce informazioni difensive utilizzabili che vanno oltre la modellizzazione teorica delle minacce.
Nel novembre 2025, MITRE ATLAS ha pubblicato un caso di studio che documenta attacchi deepfake contro i sistemi mobili di rilevamento della vitalità KYC (Know Your Customer). Secondo quanto riportato da Mobile ID World, questo attacco ha preso di mira piattaforme bancarie, servizi finanziari e piattaforme di criptovaluta.
Progressione della catena di attacchi:
Ricognizione -> Sviluppo delle risorse -> Accesso iniziale -> Elusione della difesa -> Impatto
Raccomandazioni difensive:
Questo caso di studio dimostra come gli aggressori combinino l'ingegneria sociale con strumenti di intelligenza artificiale per eludere i controlli di sicurezza, causando potenzialmente violazioni dei dati.
L'analisi HiddenLayer del caso di studio ATLAS AML.CS0003 documenta come i ricercatori abbiano aggirato un prodotto endpoint basato su ML:
Le minacce alla sicurezza dell'IA richiedono approcci di rilevamento specializzati che vanno oltre i tradizionali controlli di sicurezza. Con un aumento del 72% degli attacchi assistiti dall'IA nel 2025, le organizzazioni hanno bisogno di strategie di difesa proattive.
Lista di controllo per la sicurezza dell'IA:
Le organizzazioni dovrebbero allineare gli investimenti nella sicurezza dell'IA sia con phishing ( phishing generato dall'intelligenza artificiale phishing in rapida crescita) e la difesa dal ransomware (l'intelligenza artificiale consente attacchi più sofisticati).
I modelli linguistici di grandi dimensioni sono esposti a vettori di attacco unici che la sicurezza tradizionale non è in grado di affrontare. ATLAS cataloga queste minacce in modo sistematico.
Tabella: Tipi di minacce LLM con mappatura ATLAS e metodi di rilevamento
I recenti CVE dimostrano queste minacce nella pratica:
Le funzionalità di rilevamento e risposta alle minacce all'identità aiutano a individuare i tentativi di furto delle credenziali attraverso lo sfruttamento dell'LLM.
L'aggiornamento ATLAS di ottobre 2025 riguarda specificatamente gli agenti AI autonomi, ovvero sistemi in grado di intraprendere azioni, accedere a strumenti e mantenere il contesto tra una sessione e l'altra. Le nuove tecniche includono:
AML.T0058 Avvelenamento del contesto dell'agente AI: Inserimento di contenuti dannosi nella memoria dell'agente o nel contesto del threadAML.T0059 Fattori scatenanti l'attivazione: Incorporare trigger che si attivano in condizioni specificheAML.T0060 Dati provenienti dai servizi di intelligenza artificiale: Estrazione di informazioni tramite recupero dal database RAGAML.T0061 Strumenti per agenti AI: Sfruttamento dell'accesso allo strumento agente per scopi dannosiAML.T0062 Esfiltrazione tramite invocazione dello strumento AI Agent: Utilizzo di chiamate di strumenti legittimi per estrarre datiPrincipi di sicurezza per gli agenti di IA:
Secondo le linee guida CISA del dicembre 2025 relative all'AI/OT, le organizzazioni dovrebbero integrare sistemi di supervisione e di sicurezza per tutti i sistemi di intelligenza artificiale che operano in ambienti critici.
Il panorama della sicurezza dell'IA evolve rapidamente, con la pressione normativa e la collaborazione industriale che guidano l'adozione di un quadro normativo. Le organizzazioni devono prepararsi sia alle minacce emergenti che ai requisiti di conformità.
Il programma MITRE Secure AI, sostenuto da 16 organizzazioni membri tra cui Microsoft, CrowdStrike e JPMorgan Chase, si concentra sull'espansione di ATLAS con osservazioni del mondo reale e sull'accelerazione della condivisione degli incidenti relativi all'IA.
Sviluppi normativi:
Le minacce alla sicurezza dell'IA nel 2025 mostrano una tendenza all'accelerazione continua, con l'87% delle organizzazioni che segnalano l'esposizione ad attacchi informatici basati sull'IA, secondo una ricerca di settore.
La metodologia Attack Signal IntelligenceVectra AI applica principi di rilevamento basati sul comportamento che sono in linea con gli obiettivi del framework ATLAS. Concentrandosi sui comportamenti degli aggressori piuttosto che sulle firme statiche, le organizzazioni possono rilevare le tecniche catalogate in ATLAS, dai tentativi di prompt injection all'esfiltrazione dei dati tramite API di inferenza, in tutti cloud ibridi.
Questo approccio consente ai team di sicurezza di identificare e dare priorità alle minacce reali legate all'IA, riducendo al contempo il rumore degli avvisi. Il rilevamento e la risposta della rete, combinati con il rilevamento delle minacce all'identità, forniscono visibilità su tutta la superficie di attacco che le minacce IA ora prendono di mira.
MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems) è una base di conoscenze accessibile a livello globale che cataloga tattiche, tecniche e casi di studio degli avversari che prendono di mira specificamente i sistemi di intelligenza artificiale e di apprendimento automatico. Modellato su MITRE ATT&CK, ATLAS fornisce un quadro strutturato per comprendere le minacce specifiche dell'intelligenza artificiale. A ottobre 2025, contiene 15 tattiche, 66 tecniche, 46 sottotecniche, 26 misure di mitigazione e 33 casi di studio reali. I team di sicurezza utilizzano ATLAS per la modellazione delle minacce, lo sviluppo di sistemi di rilevamento e il red teaming dei sistemi di IA. Il framework è disponibile gratuitamente all'indirizzo atlas.mitre.org.
Mentre ATT&CK si concentra sulle minacce IT/OT tradizionali, ATLAS affronta specificamente gli attacchi mirati ai sistemi di intelligenza artificiale e apprendimento automatico. ATLAS include due tattiche uniche che non si trovano in ATT&CK: ML Model Access (AML.TA0004) e ML Attack Staging (AML.TA0012). Entrambi i framework utilizzano la stessa struttura a matrice e la stessa metodologia TTP, rendendo ATLAS accessibile ai team di sicurezza che hanno già familiarità con ATT&CK. Le organizzazioni dovrebbero utilizzare entrambi i framework insieme: ATT&CK per le minacce all'infrastruttura e ATLAS per i vettori di attacco specifici dell'IA. I framework condividono tattiche comuni, ma le applicano a contesti tecnologici diversi.
A ottobre 2025, MITRE ATLAS contiene 15 tattiche, 66 tecniche e 46 sottotecniche. L'aggiornamento di ottobre 2025 ha aggiunto 14 nuove tecniche incentrate sugli agenti grazie alla collaborazione con Zenity Labs, affrontando i rischi per la sicurezza degli agenti AI autonomi. Il framework include anche 26 misure di mitigazione e 33 casi di studio. Ciò rappresenta una crescita significativa rispetto alle versioni precedenti: alcune fonti più datate citano 56 tecniche, che riflettono i conteggi precedenti all'ottobre 2025. Fare sempre riferimento al CHANGELOG ufficiale di ATLAS per le statistiche attuali.
Iniezione immediata (AML.T0051) è una tecnica di accesso iniziale in cui gli avversari creano input dannosi per manipolare il comportamento dell'LLM. ATLAS distingue tra iniezione diretta di prompt (contenuto dannoso nell'input dell'utente) e iniezione indiretta di prompt (contenuto dannoso incorporato in fonti di dati esterne elaborate dall'LLM). Questa tecnica corrisponde a OWASP LLM01 e rappresenta uno dei vettori di attacco più comuni contro le applicazioni LLM. Il rilevamento si concentra sull'analisi dei modelli di input e sul monitoraggio del comportamento di output. Recenti CVE, tra cui CVE-2025-32711 (EchoLeak), dimostrano l'esistenza di exploit reali.
Utilizzate ATLAS Navigator per visualizzare il framework e creare livelli personalizzati che mappano le vostre risorse AI alle tecniche pertinenti. Iniziate inventariando tutti i modelli ML, le pipeline di formazione e le applicazioni abilitate all'AI. Identificate quali tattiche si applicano alle fasi della vostra pipeline ML in base all'architettura del sistema. Date priorità alle tecniche in base all'esposizione e alla probabilità. Mappate le capacità di rilevamento per creare visualizzazioni della copertura. Integrate ATLAS nelle metodologie di modellazione delle minacce esistenti come STRIDE insieme ad ATT&CK per una copertura completa. Rivedi e aggiorna i modelli di minaccia trimestralmente man mano che il framework si evolve.
ATLAS offre diversi strumenti gratuiti. Navigator fornisce una visualizzazione matriciale basata sul web per la modellazione delle minacce e la mappatura della copertura. Arsenal è un plugin CALDERA per il red teaming automatizzato basato sull'intelligenza artificiale, sviluppato in collaborazione con Microsoft. L'AI Incident Sharing Initiative consente la condivisione delle informazioni sulle minacce da parte della comunità attraverso segnalazioni di incidenti anonime. L'AI Risk Database fornisce informazioni ricercabili su incidenti e vulnerabilità. Tutti gli strumenti sono accessibili su atlas.mitre.org e attraverso i repository GitHub di MITRE. Questi strumenti trasformano ATLAS da semplice documentazione a funzionalità di sicurezza utilizzabili.
ATLAS e OWASP LLM Top 10 hanno finalità complementari. ATLAS fornisce un framework TTP incentrato sull'avversario per la modellazione e il rilevamento delle minacce, mentre OWASP offre un elenco di vulnerabilità incentrato sugli sviluppatori per uno sviluppo sicuro. Utilizzate OWASP durante le fasi di sviluppo e revisione del codice; utilizzate ATLAS per la sicurezza operativa, la modellazione delle minacce e lo sviluppo del rilevamento. Molte vulnerabilità compaiono in entrambi i framework con prospettive diverse: ad esempio, l'iniezione immediata è una tecnica ATLAS. AML.T0051 e OWASP LLM01. L'approccio migliore combina entrambi i framework con NIST AI RMF per la governance.