Organizations deploying artificial intelligence face a new frontier of security threats that traditional frameworks were never designed to address. AI-enabled adversary attacks surged 89% compared to prior years according to industry threat intelligence research, up from a 72% increase reported in 2025. This escalation demands a structured approach to understanding and defending against adversarial threats to AI systems. Enter MITRE ATLAS — the Adversarial Threat Landscape for Artificial-Intelligence Systems — a comprehensive adversarial ML knowledge base designed specifically to catalog how attackers target machine learning and AI systems.
セキュリティチームが既に精通している MITRE ATT&CKに精通しているセキュリティチームにとって、ATLAS(検索ではAtlas MITREと表記される場合あり)はAIセキュリティ領域への自然な拡張を提供します。本ガイドは、フレームワークの基礎から実践的な検知戦略まで、セキュリティアナリスト、SOCリーダー、AIエンジニアが敵対的AI攻撃に対してATLASを運用するために必要なすべてを提供します。
MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems) is a globally accessible adversarial ML knowledge base that documents adversary tactics, techniques, and procedures (TTPs) specifically targeting artificial intelligence and machine learning systems. Modeled after the widely adopted MITRE ATT&CK framework, this adversarial AI knowledge base provides security teams with a structured approach to understanding, detecting, and defending against AI-specific threats. The MITRE ATLAS framework serves as the definitive machine learning security framework for AI threat modeling.
As of version 5.1.0 (November 2025), the framework contains 16 tactics, 84 techniques, 56 sub-techniques, 32 mitigations, and 42 real-world case studies according to the official MITRE ATLAS CHANGELOG, up from 15 tactics and 66 techniques in October 2025. The February 2026 update (v5.4.0) added further agent-focused techniques. This rapid growth reflects the accelerating evolution of AI threats.
敵対的機械学習(機械学習システムへの攻撃と防御策の研究)は、NISTが文書化した4つの主要な攻撃カテゴリ(回避攻撃、汚染攻撃、プライバシー侵害攻撃、悪用攻撃)を包含する。ATLASはこれらの攻撃パターンをマトリクス構造に整理し、セキュリティ実務者が即座に活用できるようにしている。
MITREはセキュリティ環境における重大なギャップに対処するためATLASを開発した。ATT&CKは従来のITおよびOTインフラに対する脅威を効果的に分類しているが、機械学習システムの固有特性を悪用する攻撃のカバー範囲が不足している。ATLASはこの空白を埋め、AI脅威インテリジェンスに対して同様に厳格でコミュニティ検証済みのアプローチを提供する。
このフレームワークはまた、 MITRE D3FENDとも連携し、組織がATLASの手法に対して防御策を適用できるようにします。
ATLASとATT&CKの違いを理解することは、セキュリティチームがそれぞれのフレームワークを適用すべきタイミングを判断するのに役立ちます。
表：MITRE ATT&CK RE ATLASフレームワークの比較
ATLASはATT&CKから13の戦術(偵察、初期アクセス、実行、情報漏洩など)を継承しているが、これらを特にAIの文脈に適用している。ATLAS固有のAI特化戦術は次の2つである：
AML.0004敵対者が推論APIや直接的なアーティファクトアクセスを通じて標的となる機械学習モデルにアクセスする方法を説明するAML.0012敵対者が機械学習モデルを標的とした攻撃を準備する方法を解説します。これには、トレーニングデータの汚染や 裏口 挿入セキュリティチームは包括的な対応のため、両フレームワークを併用すべきである——従来のインフラ脅威にはATT&CKを、AI特化型攻撃ベクトルにはATLASを適用する。
MITRE ATLAS公式ナレッジベースは、ATT&CKの成功を支えたのと同じマトリックス構造を用いて脅威インテリジェンスを体系化しています。この構造を理解することで、効果的な脅威検知とAI脅威モデリングが可能となります。
The MITRE ATLAS matrix (sometimes called the MITRE framework matrix for AI or the AI threat matrix) displays tactics as columns and techniques as rows. Each cell represents a specific method adversaries use to achieve tactical goals against AI systems. This visual organization allows security teams to quickly identify coverage gaps and prioritize defenses.
フレームワークのコンポーネントは連携して動作します：
ATLASデータはSTIX 2.1形式で提供され、セキュリティツールやプラットフォームとの機械可読な統合を可能にします。この標準化された形式は、脅威インテリジェンスプラットフォームやSIEMシステムへの自動取り込みをサポートします。
The framework receives regular updates through community contributions and MITRE's ongoing research. The October 2025 update through Zenity Labs collaboration added 14 new agent-focused techniques, followed by the November 2025 v5.1.0 release that expanded the framework to 16 tactics with 84 techniques. The February 2026 v5.4.0 update added further techniques including "Publish Poisoned AI Agent Tool" and "Escape to Host," demonstrating the framework's active evolution.
戦術、技術、手順(TTPs)は脅威情報に基づく防御の中核をなす用語体系である。ATLASでは：
AML.TXXXX.AML.0051) 直接噴射法および間接噴射法に関するサブ技術を含む。この階層構造により、段階的に詳細な脅威モデリングが可能となります。チームは戦術レベルのカバー率分析から開始し、AIシステムの露出状況に基づいて特定の技術まで掘り下げることができます。
ATLAS organizes 84 techniques across 16 tactics that span the complete adversarial lifecycle, up from 15 tactics and 66 techniques in October 2025. This comprehensive breakdown addresses a significant content gap identified in competitor analysis — no existing guide covers all tactics with detection-focused guidance.
Table: MITRE ATLAS tactics with key techniques
The November 2025 v5.1.0 release added a 16th tactic — Command and Control (AML.0015) — along with 18 new techniques and 6 new mitigations focused on AI agent security controls. This brought the total from 66 to 84 techniques and from 33 to 42 case studies.
攻撃ライフサイクルは偵察から始まり、攻撃者は標的となる機械学習システムに関する情報を収集する。主な手法には以下が含まれる：
AML.0051攻撃者はLLMの動作を操作するために悪意のある入力を作成する — これはOWASP LLM01に該当するこれらのAI特化型戦術は、敵対者が機械学習モデルとどのように相互作用し、悪用するかを説明する：
脅威アクターは、以下の手段を通じてアクセスを維持し、検知を回避する：
後期段階の戦術は敵の目標達成に焦点を当てる：
AML.0020データポイズニングは、モデル動作を操作するために訓練データを改ざんする——重大な データ漏洩 ベクトルラテラルムーブパターンを理解することは、セキュリティチームが攻撃者がこれらの戦術を通じてどのように進行するかを追跡するのに役立ちます。
ATLASは、ドキュメントから実践可能なセキュリティ機能へとフレームワークを変革する、無料で実用的なツールを提供します。このツール群は主要なコンテンツの空白を埋めます——競合他社がこれらのリソースを包括的にカバーすることは稀です。
表：MITRE ATLAS公式ツールエコシステム
ATLAS Navigatorは、フレームワークマトリックスを可視化するインタラクティブなWebインターフェースを提供します。セキュリティチームはNavigatorを以下の目的で使用します：
ナビゲーターはATT&CKナビゲーターと連携し、両フレームワークを横断した統一ビューを実現します。既にATT&CKナビゲーターを利用しているチームは、ATLASインターフェースをすぐに使い慣れたものと感じるでしょう。
2023年3月、マイクロソフトとMITREは、AIシステムに対する自動化された攻撃者エミュレーションを可能にするCALDERAプラグイン「Arsenal」に関する協業を発表した。Arsenalは、高度な機械学習の専門知識を必要とせずにATLAS技術を実装する。
主な機能は以下の通りです：
アーセナルは、現実的な攻撃シミュレーションに対する検知範囲の検証を通じて脅威ハンティングを支援します。インシデント対応チームにとって、アーセナルは攻撃者の能力を理解し、対応手順をテストするのに役立ちます。
AIインシデント共有イニシアチブは、組織がAIセキュリティインシデントを共有し、そこから学ぶことを可能にします。このコミュニティ主導のプラットフォームは以下を提供します：
このインテリジェンスはATLASの更新に直接反映され、フレームワークが最新の脅威パターンを反映することを保証します。
セキュリティチームは、どのAIセキュリティフレームワークを採用すべきかよく尋ねます。答えは、相互補完的なカバー範囲を得るために3つすべてを活用することです。この比較は、各フレームワークを適用すべきタイミングを理解する助けとなり、よくあるPAAの疑問に対処します。
表：AIセキュリティフレームワーク比較：ATLAS vs OWASP vs NIST AI RMF
Cloudsineのフレームワーク分析によれば、これらのフレームワークはAIセキュリティライフサイクルの異なるフェーズに対応している：
表：一般的なAI脆弱性に対するフレームワーク対応表
3つのフレームワークすべてにわたる脆弱性を理解することで、包括的なカバーが可能となる。チームは自社のAI資産を各フレームワークの関連技術にマッピングすべきである。
ATLASをセキュリティ運用に統合するには、検知機能とワークフローへのマッピング技術が必要です。ThreatConnectのSOC統合ガイドによれば、ATLASの緩和策の約70%は既存のセキュリティ制御に対応しています。残りの30%には新たなAI特化型制御が必要です。
SOC統合の手順：
効果的な検知には、ATLAS技術を特定ログソースと検知ロジックにマッピングすることが必要である。
表：優先度 ATLAS 技術のための検出マッピング例
ネットワーク検知およびレスポンス機能は、アプリケーション層の検知を補完する。ユーザーおよびエンティティ振る舞い分析 (UEBA) は、AIシステムへの異常なアクセスパターンを特定するのに役立つ。
ATLASの運用化を測定するために、以下の指標を追跡する：
四半期ごとの脅威モデルレビューにより、カバレッジがフレームワークの更新や新たな脅威に遅れないようにします。
ATLAS includes 42 case studies documenting real-world attacks against AI systems, up from 33 in October 2025. Analyzing these incidents provides actionable defensive insights that go beyond theoretical threat modeling.
2025年11月、MITRE ATLASはモバイルKYC(本人確認)の生体認証システムに対するディープフェイク攻撃を検証した事例研究を発表した。Mobile ID Worldの報道によれば、この攻撃は銀行、金融サービス、暗号通貨プラットフォームを標的とした。
攻撃チェーンの進行:
偵察 → 資源開発 → 初回アクセス → 防御回避 → 影響
防御に関する推奨事項：
この事例研究は、攻撃者がソーシャルエンジニアリングとAIツールを組み合わせてセキュリティ対策を回避し、データ侵害につながる可能性を示すものである。
The SesameOp case study, added to ATLAS in late 2025, documents a novel backdoor technique that leverages AI assistant APIs for command and control. Instead of building traditional C2 infrastructure, adversaries repurposed legitimate agent service APIs as covert control channels — blending malicious activity into normal AI workflows. This attack pattern maps to the new AI Service API technique (AML.0096) and demonstrates how agentic AI infrastructure creates command and control channels that evade conventional network detection.
ATLAS expanded from 33 to 42 case studies between October 2025 and February 2026. Notable additions include:
ATLASケーススタディAML.CS0003のHiddenLayer分析は、研究者が機械学習ベースのエンドポイントセキュリティ製品を回避した方法を文書化している：
AI security threats require specialized detection approaches that go beyond traditional security controls. With AI-enabled adversary attacks surging 89% compared to prior years — up from a 72% increase in 2025 — organizations need proactive defense strategies.
AIセキュリティのための防御チェックリスト：
組織はAIセキュリティ投資を以下の両方に整合させるべきである フィッシング 防止(AI生成型 フィッシング が急増中)とランサムウェア防御(AIが高度な攻撃を可能に)の両方に合わせるべきである。
AML.0051)Prompt injection is the most prominent ATLAS technique, cataloged as AML.0051 under the Initial Access tactic. Large language models face unique attack vectors that traditional security cannot address, and ATLAS catalogs these threats systematically.
表：LLM脅威の種類とATLASマッピングおよび検知手法
最近のCVEは、これらの脅威が実際に存在することを示している：
アイデンティティ脅威の検知および対応機能は、LLMの悪用による検知 窃取試行を検知 役立ちます。
2025年10月のATLASアップデートは、自律型AIエージェント(セッション間で行動を実行し、ツールにアクセスし、コンテキストを保持できるシステム)に特化して対応します。新たな技術には以下が含まれます：
AML.0058 AIエージェントのコンテキスト汚染エージェントのメモリまたはスレッドコンテキストへの悪意のあるコンテンツの注入AML.0059 活性化トリガー特定の条件下で起動する埋め込みトリガーAML.0060 AIサービスからのデータRAGデータベース検索による情報抽出AML.0061 AIエージェントツールエージェントツールへのアクセス権を悪用した悪意のある目的AML.0062 AIエージェントツールの呼び出しによる情報漏洩正当なツール呼び出しを用いたデータ抽出AIエージェントのセキュリティ原則：
CISAの2025年12月版AI/OTガイダンスによれば、組織は重要環境で稼働する全てのAIシステムに対し、監視体制と安全装置を組み込むべきである。
The Model Context Protocol (MCP) — an open standard for connecting AI agents to external tools and data sources — introduces attack surfaces that ATLAS now explicitly addresses. MCP exploits allow adversaries to manipulate the tool-calling layer between AI agents and enterprise systems, bypassing traditional security controls.
ATLAS techniques relevant to MCP security include:
AML.0061): Adversaries exploit MCP server configurations to invoke unauthorized tool actions or access restricted dataAML.0062): Attackers leverage legitimate MCP tool calls to extract sensitive data through sanctioned channelsAML.0096, added 2026): Exploiting AI orchestration APIs for stealthy command and controlThe January 2026 ATLAS update (v5.3.0) added three new case studies specifically covering MCP server compromises, indirect prompt injection via MCP channels, and malicious AI agent deployment. Security teams should validate all MCP server configurations, restrict tool permissions to least privilege, and monitor tool invocation patterns for anomalies.
AIセキュリティ環境は急速に進化しており、規制圧力と業界連携がフレームワーク導入を推進している。組織は新たな脅威とコンプライアンス要件の両方に備える必要がある。
The MITRE Secure AI Program, supported by 16 member organizations including Microsoft and JPMorgan Chase, focuses on expanding ATLAS with real-world observations and expediting AI incident sharing.
規制動向：
AI security threats continue to accelerate, with 87% of organizations reporting AI-powered cyberattack exposure and 92% expressing concern over agentic AI security implications according to industry research.
Vectra AI's Attack Signal Intelligence methodology applies behavior-based detection principles that align with ATLAS framework objectives. By focusing on attacker behaviors rather than static signatures, organizations can detect the techniques cataloged in ATLAS — from prompt injection attempts to data exfiltration via inference APIs — across hybrid cloud environments.
このアプローチにより、セキュリティチームはAI関連の真の脅威を特定・優先順位付けしつつ、アラートのノイズを低減できます。ネットワーク検知とレスポンスをアイデンティティ脅威検知と組み合わせることで、AI脅威が標的とするアタックサーフェス全体を可視化します。
MITRE ATLAS provides the structured approach organizations need to defend AI systems against sophisticated adversaries. With 16 tactics, 84 techniques, and continuous updates reflecting emerging threats like agentic AI attacks and MCP exploits, the framework delivers actionable intelligence for security teams.
The rapid expansion from 15 tactics in October 2025 to 16 tactics and 84 techniques by February 2026 demonstrates ATLAS's commitment to keeping pace with AI evolution. As AI-assisted attacks continue to surge and regulatory requirements like the EU AI Act take effect, organizations cannot afford to treat AI security as an afterthought.
Start with these immediate actions:
For organizations seeking comprehensive AI security beyond framework adoption, Vectra AI's Attack Signal Intelligence provides behavior-based detection that identifies the adversary techniques ATLAS catalogs — enabling security teams to find and stop AI threats across hybrid environments.
MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems) is a globally accessible knowledge base that catalogs adversary tactics, techniques, and case studies specifically targeting AI and machine learning systems. Modeled after MITRE ATT&CK, ATLAS provides a structured framework for understanding AI-specific threats. As of February 2026, it contains 16 tactics, 84 techniques, 56 sub-techniques, 32 mitigations, and 42 real-world case studies. Security teams use ATLAS for threat modeling, detection development, and red teaming AI systems. The framework is freely available at atlas.mitre.org.
ATT&CKが従来のIT/OT脅威に焦点を当てる一方、ATLASはAIおよび機械学習システムを標的とした攻撃に特化して対応します。ATLASにはATT&CKには見られない2つの独自の戦術が含まれます：MLモデルへのアクセス(AML.0004) および ML 攻撃ステージング (AML.0012両フレームワークは同一のマトリックス構造とTTP手法を採用しているため、ATT&CKに精通したセキュリティチームはATLASを容易に活用できます。組織は両フレームワークを併用すべきです——インフラ脅威にはATT&CKを、AI特化型攻撃ベクトルにはATLASを適用します。両フレームワークは共通戦術を共有しつつ、異なる技術的文脈に適用します。
As of February 2026 (v5.4.0), MITRE ATLAS contains 16 tactics, 84 techniques, and 56 sub-techniques, up from 15 tactics and 66 techniques in October 2025. The November 2025 v5.1.0 update added a 16th tactic and expanded to 84 techniques, 32 mitigations, and 42 case studies. The February 2026 v5.4.0 update added further agent-focused techniques including "Publish Poisoned AI Agent Tool" and "Escape to Host." This represents significant growth from earlier versions — some older sources cite 56 or 66 techniques, which reflects pre-November 2025 counts. Always reference the official ATLAS CHANGELOG for current statistics.
Prompt injection (AML.0051ATLASは、攻撃者が悪意のある入力を作成してLLMの動作を操作する初期アクセス手法である。ATLASは、直接プロンプト注入(ユーザー入力内の悪意のあるコンテンツ)と間接プロンプト注入(LLMが処理する外部データソースに埋め込まれた悪意のあるコンテンツ)を区別する。この手法はOWASP LLM01に該当し、LLMアプリケーションに対する最も一般的な攻撃ベクトルの1つである。 検出は入力パターン分析と出力挙動監視に重点を置く。CVE-2025-32711(EchoLeak)を含む最近のCVEは実環境での悪用実例を示している。
ATLAS Navigatorを使用してフレームワークを可視化し、AI資産を関連技術にマッピングするカスタムレイヤーを作成します。まず、すべての機械学習モデル、トレーニングパイプライン、AI対応アプリケーションを棚卸しします。システムアーキテクチャに基づき、機械学習パイプラインの各段階に適用可能な戦術を特定します。露出度と発生可能性に基づいて技術の優先順位を付けます。検知機能をマッピングしてカバレッジ可視化を作成します。包括的なカバレッジを実現するため、ATLASをSTRIDEなどの既存脅威モデリング手法やATT&CKと統合します。 フレームワークの進化に伴い、脅威モデルを四半期ごとに見直し更新します。
ATLAS offers several free tools. Navigator provides web-based matrix visualization for threat modeling and coverage mapping, with export capabilities in JSON, Excel, and SVG formats. Arsenal is a CALDERA plugin for automated AI red teaming, developed in collaboration with Microsoft. The AI Incident Sharing Initiative enables community threat intelligence sharing through anonymized incident reports. The AI Risk Database provides searchable incident and vulnerability information. All tools are accessible at atlas.mitre.org and through MITRE's GitHub repositories. These tools transform ATLAS from documentation into actionable security capabilities.
ATLAS and OWASP LLM Top 10 serve complementary purposes. ATLAS provides an adversary-centric TTP framework for threat modeling and detection, while OWASP offers a developer-centric vulnerability list for secure development. Use OWASP during development and code review phases; use ATLAS for operational security, threat modeling, and detection development. Many vulnerabilities appear in both frameworks with different perspectives — for example, prompt injection is ATLAS technique AML.0051 およびOWASP LLM01。最適なアプローチは、ガバナンスのために両フレームワークをNIST AI RMFと組み合わせることである。
The MITRE ATLAS adversarial ML knowledge base is a structured repository of adversary tactics, techniques, sub-techniques, mitigations, and real-world case studies focused on attacks against AI and machine learning systems. As of February 2026 (v5.4.0), the knowledge base contains 16 tactics, 84 techniques, 56 sub-techniques, 32 mitigations, and 42 case studies. It is freely accessible at atlas.mitre.org and its data is available in STIX 2.1 format for machine-readable integration with security tools and threat intelligence platforms.
MITRE ATLAS case studies are documented real-world incidents where adversaries targeted AI and machine learning systems, mapped to specific ATLAS tactics and techniques. As of February 2026, ATLAS contains 42 case studies covering attacks ranging from deepfake-based KYC bypass and ML model evasion to AI agent backdoors and financial transaction hijacking through AI assistants. Notable examples include the iProov deepfake case study targeting mobile banking, the SesameOp AI agent backdoor (AML.CS0042), and MCP server compromise scenarios. Security teams use these case studies to understand real attack chains and validate detection coverage.
ATLAS Navigator provides an interactive web interface at atlas.mitre.org for visualizing the ATLAS matrix. To export coverage layers, create a custom layer by selecting relevant techniques and assigning scores based on your detection coverage. Navigate to Layer Controls and export in JSON format for programmatic use, Excel for analyst review, or SVG for visual reporting. Teams can combine multiple layers using score expressions (such as summing two layers) to visualize overlapping coverage or gaps. Navigator integrates with the ATT&CK Navigator, enabling unified views across both traditional and AI-specific threat frameworks.