Times de segurança maduros já falam ATT&CK. Detecções são escritas contra técnicas, relatórios de red team são mapeados para táticas, e a cobertura é medida em matriz. Quando a IA entra em produção, a pergunta natural é: onde isso encaixa?
A resposta curta: em parte encaixa, em parte não — e o incidente real acontece exatamente na costura.
Duas matrizes, dois domínios
MITRE ATT&CK cataloga comportamento adversário contra sistemas tradicionais. As táticas são conhecidas: acesso inicial, execução, persistência, evasão de defesa, movimento lateral, exfiltração. O pressuposto é uma fronteira entre código e dados, e a exploração acontece quando o atacante cruza essa fronteira.
MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems) cataloga comportamento adversário contra sistemas de machine learning. Ele reaproveita a estrutura tática do ATT&CK, mas adiciona o que não existe no mundo tradicional: reconhecimento de modelo, acesso ao artefato de ML, envenenamento de dados de treinamento, evasão do modelo, inferência de pertencimento, extração de modelo.
A diferença não é de vocabulário. É de superfície. ATT&CK descreve o que o adversário faz na infraestrutura. ATLAS descreve o que ele faz no modelo.
Onde as matrizes se sobrepõem — e onde não
Algumas táticas têm correspondência quase direta. Reconhecimento é reconhecimento; exfiltração é exfiltração. O canal muda, a intenção não.
Outras não têm par:
- Envenenamento de dados de treinamento não tem equivalente em ATT&CK. Não existe no modelo mental clássico um ataque que altera o comportamento futuro de um sistema modificando o material do qual ele aprende.
- Evasão do modelo — construir uma entrada que o classificador lê de forma diferente do humano — é uma classe própria.
- Extração de modelo por consulta é exfiltração sem movimentação de arquivo. Nenhum DLP baseado em conteúdo detecta.
E há a assimetria inversa: ATLAS não cobre bem o que acontece depois que o modelo é comprometido. Um agente de IA que executa comandos na máquina do desenvolvedor está firmemente em território ATT&CK — Execução, T1059. A técnica é clássica; só o ponto de entrada é novo.
O ataque real atravessa as duas
É por isso que mapear um incidente de IA para uma única matriz sempre deixa lacunas. Considere o padrão observado em incidentes de 2025–2026 com assistentes de código:
- ATLAS — o adversário planta instruções em conteúdo que o assistente vai consumir. Prompt injection indireto: sem credencial, sem exploit, apenas texto no lugar certo.
- ATLAS — as instruções manipulam o comportamento do modelo, contornando as restrições definidas no system prompt.
- Costura — o modelo emite uma chamada de ferramenta. Aqui o ataque sai do domínio do ML e entra no domínio da infraestrutura. Nenhuma das duas matrizes descreve bem essa transição.
- ATT&CK — a ferramenta executa. Execução de comando, escrita em arquivo, requisição de rede. Técnicas conhecidas, detecções conhecidas.
- ATT&CK + ATLAS — persistência. Se o payload fica em um arquivo de configuração, é ATT&CK. Se fica na memória do agente ou no vector store, é território ATLAS, e não há detecção padrão.
CVE-2025-53773 (GitHub Copilot) e CurXecute (Cursor IDE) seguem essa forma: entrada em linguagem natural, saída em execução de comando. GeminiJack mostrou a variante zero-click com movimento lateral por um ambiente corporativo inteiro. Nos 21 incidentes de promptware que catalogamos entre 2025 e 2026, 15 apresentaram quatro ou mais estágios encadeados — nenhum deles cabe inteiro em uma matriz só.
A costura é onde a detecção falha
Junte a cobertura das duas matrizes em um ambiente típico e o mapa de detecção fica assim:
- Lado ATT&CK — razoavelmente instrumentado. EDR na execução, logs de rede na exfiltração, gestão de identidade no movimento lateral.
- Lado ATLAS — quase não instrumentado. Poucas organizações registram o que entrou na janela de contexto, o que foi escrito na memória do agente ou o que foi indexado no vector store.
- A costura — invisível. Uma chamada de ferramenta emitida pelo modelo aparece no log como uma requisição legítima da aplicação. O log registra o que foi feito; não registra qual input originou.
Essa última linha explica por que 57% dos incidentes catalogados mantiveram persistência ativa após a detecção inicial. A organização detectou o efeito na camada ATT&CK, remediou lá, e o payload continuou na camada ATLAS — na memória, no índice, no documento.
Como usar as duas na prática
1. Mapeie achados para as duas matrizes, não uma. Um relatório de red team de IA que cita apenas ATLAS não conversa com o SOC. Um que cita apenas ATT&CK perde a origem do ataque. Cada achado deve dizer: técnica ATLAS de entrada, técnica ATT&CK de impacto.
2. Instrumente a costura primeiro. O controle de maior retorno não é detecção de prompt malicioso — é correlação. Toda chamada de ferramenta iniciada por um modelo deve ser logada com o identificador do input que a originou. Sem isso, nenhuma investigação de incidente de IA chega à causa raiz.
3. Estenda a matriz de cobertura existente. Se o time já mede cobertura ATT&CK, adicione as colunas ATLAS ao mesmo painel. Duas matrizes em dois relatórios separados garantem que ninguém olhe a interseção.
4. Trate persistência em ATLAS como persistência de verdade. Memória de agente, embeddings e regras de projeto são mecanismos de persistência com todas as propriedades relevantes: sobrevivem à sessão, influenciam execução futura, não são inspecionados. Merecem revisão, expiração e log — os mesmos controles que você aplicaria a uma tarefa agendada.
O papel de cada framework
Nenhuma das duas matrizes é um programa de testes. São taxonomias — servem para nomear, comunicar e medir cobertura, não para dizer o que executar.
É por isso que nossos exercícios usam a Promptware Kill Chain como sequência operacional e mapeiam cada estágio de volta para ATLAS e ATT&CK. A kill chain define o caminho; as matrizes dão a linguagem comum com o SOC.
Combinados, os três respondem à pergunta que importa para o conselho: não "quantas técnicas cobrimos", mas "se o adversário entrar pelo modelo, até onde ele chega — e em que ponto nós enxergamos".
Para mapear seus sistemas de IA contra ATLAS e ATT&CK, conheça nosso Red Team para IA ou fale com o time.