MITRE ATLAS taktikleri

İki çerçeve aynı işi yapmaz. OWASP listesi zafiyet odaklıdır ve kusurun nerede olduğunu adlandırır. MITRE ATLAS (Adversarial Threat Landscape for AI Systems) ise davranış odaklıdır: saldırgan hangi adımı hangi amaçla attı? ATLAS, kurumsal saldırıları tarif eden ATT&CK çerçevesinin yapısını miras alır.

Gerçek olaylardan ve araştırma gösterimlerinden çıkarılmış olay incelemeleri (case study) de içerir. Raporda ikisini birlikte kullanınca hem kusur hem hikâye anlaşılır. Savunan ekip için ATLAS'ın asıl değeri de buradadır. Zincirdeki her adım, bakılacak bir kayda ve kırılabilecek bir halkaya dönüşür.

Yapının iki temel parçası vardır. Taktik amaçtır ve neden sorusuna cevap verir. Teknik yöntemdir ve nasıl sorusuna cevap verir. Her nesnenin sabit bir kimliği vardır.

Taktikler AML.TA ile, teknikler AML.T ile başlar. Alt teknik, noktadan sonra üç hane alır. Örneğin AML.T0051 LLM istem enjeksiyonudur. AML.T0051.000 doğrudan, AML.T0051.001 dolaylı, AML.T0051.002 tetiklemeli biçimidir.

Önlemler AML.M, olay incelemeleri AML.CS ile başlar. Kimlikler değişmez, adlar ise zamanla güncellenebilir. Raporda bu yüzden adın yanına mutlaka kimliği yaz.

Eylül 2026 sürümünde matriste 16 taktik var. Sıra kabaca saldırının akışını izler. İlk altısı keşif, kaynak geliştirme, saldırı uyarlaması, ilk erişim, model erişimi ve çalıştırmadır. Ardından kalıcılık, yetki yükseltme, savunma atlatma, kimlik bilgisi erişimi ve iç keşif gelir.

Son beşi yanal hareket, toplama, komuta ve kontrol, sızdırma ve etkidir. Kimlik numaraları bu sırayı izlemez.

Keşif AML.TA0002'dir, model erişimi ise AML.TA0000. Numara, taktiğin bilgi tabanına eklenme sırasından gelir. Matristeki yeri ise ayrı tutulur ve sürümden sürüme değişebilir.

Sıra  Kimlik       Taktik (ATLAS adı)
 1    AML.TA0002   Keşif (Reconnaissance)
 2    AML.TA0003   Kaynak geliştirme (Resource Development)
 3    AML.TA0001   Saldırı uyarlaması (AI Attack Adaptation)
 4    AML.TA0004   İlk erişim (Initial Access)
 5    AML.TA0000   Model erişimi (AI Model Access)
 6    AML.TA0005   Çalıştırma (Execution)
 7    AML.TA0006   Kalıcılık (Persistence)
 8    AML.TA0012   Yetki yükseltme (Privilege Escalation)
 9    AML.TA0007   Savunma atlatma (Defense Evasion)
10    AML.TA0013   Kimlik bilgisi erişimi (Credential Access)
11    AML.TA0008   İç keşif (Discovery)
12    AML.TA0015   Yanal hareket (Lateral Movement)
13    AML.TA0009   Toplama (Collection)
14    AML.TA0014   Komuta ve kontrol (Command and Control)
15    AML.TA0010   Sızdırma (Exfiltration)
16    AML.TA0011   Etki (Impact)

Tabloyu ATT&CK bilen biri hemen tanır. Taktiklerin çoğu ATT&CK'teki adlarla aynıdır ve aynı amacı anlatır. Fark, yapay zekâya özgü iki taktikte ve onların altındaki tekniklerde ortaya çıkar. Tabloyu kullanırken iki kurala uy.

Birincisi, raporda taktiği hem adıyla hem kimliğiyle yaz, çünkü ad çeviriye göre değişebilir. İkincisi, matristeki sırayı olayın zaman sırası sanma. Gerçek bir olayda saldırgan iç keşfi çalıştırmadan önce de yapabilir. Sıra yalnız taktikleri düzenli okumana yardım eder.

İki taktik bu çerçeveye özgüdür. Model erişimi (AML.TA0000), saldırganın modele hangi düzeyde ulaştığını tarif eder. Çıkarım API'sine erişim (AML.T0040) ve yapay zekâ kullanan bir ürün üzerinden erişim (AML.T0047) buraya girer.

Saldırı uyarlaması (AML.TA0001) ise genel yeteneği hedefe göre biçimlendirmektir: vekil model kurmak ya da hedefe özel istem hazırlamak gibi. Bu taktiğin adı 2026.08 içerik sürümünde değişti.

Eski belgelerde AI Attack Staging olarak geçer. Aynı sürümde matristeki yeri de değişti. Eskiden toplama ile komuta ve kontrol arasında dururdu, şimdi üçüncü sırada.

LLM uygulamasında en sık gördüğün teknikler birkaç taktiğe dağılır. Müşteri yorumu gibi herkese açık bir alana bırakılan talimat, açık uygulama üzerinden istem yerleştirmedir. Talimatın modelde çalışması istem enjeksiyonudur. RAG indeksine giren zehirli belge kalıcılık sayılır, çünkü her ilgili sorguda geri gelir.

Talimatı kodlayıp gizlemek savunma atlatmadır. Modelin kendi sistem bilgisini, örneğin araç adlarını yoklamak iç keşiftir. Yanıttaki görsel bağlantısı istemcide açılınca veriyi dışarı taşır. Bu da sızdırmadır.

Teknik                                     Kimlik      Taktik
Açık uygulama üzerinden istem yerleştirme  AML.T0093   İlk erişim, Kalıcılık
LLM istem enjeksiyonu                      AML.T0051   Çalıştırma
RAG zehirlemesi                            AML.T0070   Kalıcılık
LLM istem gizleme                          AML.T0068   Savunma atlatma
LLM sistem bilgisini keşfetme              AML.T0069   İç keşif
LLM yanıt oluşturma (görsel bağlantı)      AML.T0077   Sızdırma

Tek bir teknik birden çok taktiğe hizmet edebilir. Tablodaki AML.T0093 hem ilk erişim hem kalıcılık altında listelenir. LLM jailbreak (AML.T0054) hem savunma atlatma hem yetki yükseltme sayılır. Ajanlarda yeni teknikler de var.

Ajan bağlamı zehirleme (AML.T0080) belleğe ya da konuşma geçmişine yazılan talimatı anlatır ve kalıcılığa girer. Kendini kopyalayan istem (AML.T0061) bir ajandan ötekine yayılan solucan davranışını tarif eder. Etiketi, adımın o olaydaki amacı belirler. Aynı teknik bir olayda giriş kapısı, başka bir olayda kalıcılık aracı olabilir.

Bir olayı zincire dökmek raporun en değerli parçasıdır. Savunan ekip hangi adımı görebildiğini, hangisinin kör noktada kaldığını buradan anlar. ATLAS'ın olay incelemeleri bunun hazır örnekleridir. AML.CS0035, bir ekip mesajlaşma platformunun yapay zekâ asistanında 2024'te gösterilen bir sızıntıyı anlatır.

Araştırmacılar herkese açık bir kanala talimat bıraktı. Asistan o mesajı arama indeksine aldı. Kurban daha sonra kendi özel kanalındaki bir değeri sorduğunda asistan talimatı da getirdi ve uyguladı. Yanıt, gizli değeri taşıyan tıklanabilir bir bağlantıya dönüştü.

# AML.CS0035 zinciri, taktik sırasıyla
Saldırı uyarlaması : aranınca bulunacak içerik ve istem hazırlandı  (AML.T0066, AML.T0065)
İlk erişim         : çalışma alanında sıradan bir hesap açıldı      (AML.T0012)
Model erişimi      : asistanla ürün arayüzü üzerinden konuşuldu     (AML.T0047)
Kalıcılık          : talimat açık kanala yazıldı, indekse girdi     (AML.T0070)
Çalıştırma         : kurbanın sorusunda talimat getirildi           (AML.T0051.001)
Kimlik bilgisi     : asistan özel kanaldaki gizli değeri buldu      (AML.T0082)
Sızdırma           : değer, yanıttaki bağlantıya gömüldü            (AML.T0077)

Zinciri savunanın gözüyle oku. İlk erişim yönetici olmayan sıradan bir hesapla oldu; yani kimlik doğrulama tek başına koruma sağlamadı. Kalıcılık satırı kritik halkadır. Açık kanaldaki mesaj, kurbanın sorusuyla aynı aramaya girebiliyordu.

Kimlik bilgisi satırı yetki tasarımını sorgular: asistan kurbanın erişebildiği her kanalı okuyabiliyordu. Sızdırma satırı en ucuz önlemi gösterir. Yanıttaki dış bağlantılar engellenseydi ya da tıklanamaz gösterilseydi değer dışarı çıkamazdı. Zincirin her halkası ayrı bir ekibin işidir ve tek bir halkayı kırmak etkiyi durdurmaya yetebilir.

Keşif           : asistan sürümü ve araçları açık belgelerden bulundu
İlk erişim      : müşteri yorumuna talimat bırakıldı             (AML.T0093)
Kalıcılık       : yorum indekse girdi, her sorguda geri geliyor  (AML.T0070)
Savunma atlatma : talimat Base64 ile kodlandı                    (AML.T0068)
Çalıştırma      : model yorumdaki talimatı uyguladı              (AML.T0051.001)
Toplama         : bağlamdaki müşteri kayıtları yanıta alındı
Sızdırma        : markdown görseliyle dış adrese gönderildi      (AML.T0077)

ATLAS'ın ikinci faydası tespit planıdır. Her taktiğin karşısına hangi kaydın bakılacağını yazarsın. Model erişimi için API anahtarı başına çağrı sayısına, sızdırma için arayüzden çıkan ağ isteklerine, savunma atlatma için normalleştirme öncesi ham girdiye bakarsın.

ATLAS bu kayıt işini bir önlem olarak da listeler: yapay zekâ telemetri kaydı (AML.M0024). Önlem, modelin girdi ve çıktılarını kaydetmeyi ister. Ajanlarda ara adımları, veri erişimini, araç kullanımını ve ajanın kimliğini de kaydetmeyi önerir.

Önlem listesi kayıtla sınırlı değildir. Ajan eylemlerinde insan onayı (AML.M0029) ve güvenilmeyen veri bağlamdayken araç çağrısını kısıtlamak (AML.M0030) da listede yer alır. Kayda bağlanmayan taktik, izleme boşluğunu gösterir.

Gerçek bir başarısızlık senaryosu bu planı somutlaştırır. Bir destek asistanında girdi denetimi kuruluydu, çıktı denetimi kişisel veri arıyordu ve araçlar dar yetkiyle çalışıyordu. Saldırgan talimatı müşteri yorumuna bıraktı, kodladı ve modelden veriyi kısa parçalara bölmesini istedi. Girdi denetimi kodlanmış metni tanımadı.

Çıktı denetimi tam numara aradığı için parçaları kaçırdı. Üç katman da çalıştı, üçü de aynı yükü kaçırdı. Katmanlar farklı varsayımlara dayanmalı: biri kalıba, biri anlama, biri davranışa baksın. Tek oturumda onlarca kısa parça istenmesi normal kullanımda görülmez.

# aynı yük, üç katman, üç kaçırma
girdi_denetimi : kalıp eşleşme  -> kodlanmış metni görmedi
cikti_denetimi : tam numara     -> parçalanmış rakamı görmedi
arac_yetkisi   : dar ama veri zaten bağlamda
davranis       : tek oturumda 42 kısa parça isteği (kaçırılan sinyal)

Davranış katmanını kurmak için ajanın telemetrisini satır satır okursun. Her araç çağrısı oturum kimliği, tetikleyen kaynak, çağrılan araç ve etkilediği kayıt sayısıyla yazılır. Olağan bir destek oturumu bir iki kayıt getirir ve iç kullanıcı adına çalışır.

Dış kaynaktan gelen bir e-postanın tetiklediği oturum binlerce kayıt getiriyorsa toplama taktiği görünür olur. Aynı oturum hemen ardından dış adrese e-posta gönderiyorsa sızdırma da eklenir. İki satır yan yana geldiğinde alarm üretmek, tek tek her satıra bakmaktan çok daha az yanlış alarm verir.

Eşiği kendi trafiğine göre ayarla. Önce iki hafta yalnız gözle, sonra alarmı aç.

Matrisi her seferinde web sitesinden okumak yerine ham veriyi indirebilirsin. MITRE, ATLAS verisini GitHub'daki atlas-data deposunda YAML dosyası olarak yayımlar. Mayıs 2026'dan beri iki sürüm ayrı izlenir.

İçerik sürümü yıl ve ay biçimindedir, örneğin 2026.09. Veri biçimi ise ayrı bir sürüm taşır, örneğin 6.0.0. Depoda her içerik sürümü için bir dosya bulunur ve dist/v6 klasöründe durur.

Teknik ile taktik arasındaki bağ ayrı bir ilişkiler bölümünde tutulur. Bir tekniğin hangi taktiklere hizmet ettiği "achieves" adlı ilişkide yazar. Kısa bir betikle istediğin kimliği sorgularsın.

$ cat atlas_oku.py
import yaml
d = yaml.safe_load(open("ATLAS-2026.09.yaml", encoding="utf-8"))
print("format", d["format-version"], "| içerik", d["collection"]["version"])
print("taktik:", len(d["tactics"]))
for t in ["AML.T0093", "AML.T0051", "AML.T0054"]:
    hedef = [r["target"] for r in d["relationships"][t]["achieves"]]
    print(t, d["techniques"][t]["name"], "->", ", ".join(hedef))

$ python3 atlas_oku.py
format 6.0.0 | içerik 2026.09
taktik: 16
AML.T0093 Prompt Infiltration via Public-Facing Application -> AML.TA0004, AML.TA0006
AML.T0051 LLM Prompt Injection -> AML.TA0005
AML.T0054 LLM Jailbreak -> AML.TA0007, AML.TA0012

Çıktıyı satır satır oku. İlk satır iki sürümü ayrı yazar: veri biçimi 6.0.0, içerik 2026.09. Raporda içerik sürümünü belirt, çünkü teknik adları aydan aya değişebilir.

İkinci satır taktik sayısını doğrular. Sonraki üç satır teknikten taktiğe giden ilişkiyi gösterir.

AML.T0093 iki taktiğe bağlanır: AML.TA0004 ilk erişim, AML.TA0006 kalıcılıktır. AML.T0054 da savunma atlatma ve yetki yükseltme olmak üzere iki taktiğe hizmet eder. Aynı betiği tespit planını denetlemek için de kullanırsın. Planındaki her tekniğin taktiğini veriden çeker, eşleşmeyen satırı düzeltirsin.

for t in ["AML.T0070"]:
    hedef = [r["target"] for r in d["relationships"][t]["achieves"]]
    print(t, d["techniques"][t]["name"], "->", ", ".join(hedef))

Zincir yöntemi yalnız destek asistanına özgü değildir. Gelen kutusunu okuyan bir e-posta asistanında da aynı soruları sorarsın: talimat nereden girdi, nerede çalıştı, veri hangi yoldan çıktı? Dışarıdan gelen ileti ilk erişimdir. Asistanın onu okuyup uygulaması dolaylı enjeksiyonla çalıştırmadır.

Verinin bir bağlantı adresine eklenip dışarı taşınması sızdırmadır. Her satırın yanına bakacağın kaydı da yazarsan zincir aynı zamanda bir tespit planına dönüşür. Üç satır, olaydan sonra hangi kayıtları saklaman gerektiğini de söyler: gelen ileti, asistanın yanıtı ve dışarı çıkan bağlantı isteği.