MITRE ATT&CK v20 Adds New AI Attack Techniques for Prompt Injection and Data Theft
2026/10/16 gbhackers — 2026年10月13日に MITRE は、サイバー攻撃者の戦術／技術／手順 (TTP) を体系化するフレームワーク MITRE ATT&CK の、ATT&CK v20 を公開した。今回のアップデートでは、プロンプト・インジェクション／AI を悪用する情報流出／AI の処理結果を汚染する攻撃といった、AI に関連する攻撃手法が Enterprise 領域に初めて追加されている。また、Enterprise／Mobile／ICS (Industrial Control System) などの領域をカバーするかたちで、攻撃手法／攻撃グループ／キャンペーン／ソフトウェアに関する情報が更新されている。
MITRE ATT&CK v20 に新たな AI 攻撃手法を追加
MITRE が公開した更新情報によると、今回のリリースにおける最大の変更点は、最近の攻撃者の活動や攻撃手法に関するカバレッジの拡大であり、AI を悪用する新たな攻撃手法への対応が強化されている。
新たなキャンペーンとして、米国の水道事業者を標的とする攻撃や、AI 支援によるメキシコ政府のインフラ侵害などの事例が追加された。
ATT&CK v20 の主な収録件数
今回の更新後において、ATT&CK には以下の情報が収録されている。
| 項目 | 収録件数 |
|---|---|
| ソフトウェア（Software） | 971件 |
| 攻撃グループ（Groups） | 182件 |
| 攻撃キャンペーン（Campaigns） | 61件 |
| Enterpriseの攻撃テクニック | 227件 |
| Enterpriseのサブテクニック | 479件 |
Enterprise 領域では、9件の新しい攻撃テクニックが、バージョン 1.0 として追加された。このうち 5件は、AI に特化した攻撃手法と、AI に関連する攻撃手法となっている。残るテクニックは、自動化された防御処理の回避や、認証情報の窃取などを対象としている。
プロンプト・インジェクションと AI による情報流出を体系化
ATT&CK v20では、AI に関連する攻撃として、主に以下のような手法が取り上げられている。
- 直接的プロンプトインジェクション：AI システムに対して、悪意のある直接的な指示を与える攻撃。
- 間接的プロンプト・インジェクション：AI が参照する外部コンテンツなどを通じて、悪意の指示を取り込ませる攻撃。
- AI-Enabled Exfiltration：AI の機能を利用した情報流出。
- AI Result Poisoning：AI の出力結果を汚染／操作する攻撃。
これらの攻撃手法が ATT&CK に追加されたことで、セキュリティチームは AI 関連のインシデントを共通の分類体系を用いて取り扱えるようになる。
また、既存の Obtain Capabilities: Artificial Intelligence (AI 機能の取得) もバージョン 1.2 へと更新された。
AI 関連の検知戦略と 12件の新しい分析項目を追加
ATT&CK v20では、攻撃手法の追加に加えて、防御側が利用する検知戦略 (Detection Strategies) も拡充された。新たな検知戦略には、以下のようなものが含まれる。
| 検知戦略 | 対象となる攻撃・活動 |
|---|---|
| AI-Enabled Exfiltration | AI を利用した情報流出 |
| AI Result Poisoning | AI の出力結果の汚染 |
| Anti-Automation Evasion | 自動化された防御処理の回避 |
| Automated CAPTCHA | CAPTCHA処理の自動化 |
| Avoid CAPTCHA | CAPTCHAの回避 |
| アプリケーション固有パスワードの不審な使用 | アプリケーション専用パスワードの悪用が疑われる活動 |
これらの検知戦略を支えるものとして、Enterprise 領域には 12件の新しい分析項目 (Analytics) が追加された。なお、一連の分析項目には、2068〜2106 までの番号が割り当てられている。
これにより防御側は、AI を悪用する情報流出や結果汚染などの攻撃について、より体系的に検知方法を検討できるようになる。
AI を悪用したインフラへの侵害
今回の更新では、実際の攻撃活動に関するキャンペーン情報も拡充された。具体的には、新たなキャンペーン “AI-Assisted Breach of Mexico’s Government Infrastructure” (AI 支援によるメキシコ政府インフラへの侵害) が追加されている。
このキャンペーンは、Enterprise と ICS の領域に収録されている。AI を悪用する攻撃活動が、一般的な企業 IT 環境だけではなく、産業用制御システムに関連する脅威情報としても扱われている点に特徴がある。
ICS 領域には、”2026 U.S. Water Utilities Attacks” (2026年の米国水道事業者への攻撃) という新たなキャンペーンも追加されている。
これにより、重要インフラを標的とした攻撃活動について、ATT&CK の枠組みに沿った分析が可能になる。
新たな攻撃グループ NIMBUS MANTICORE と The Gentlemen の追加
Enterprise 領域では、新たな攻撃グループとして以下の2つが追加された。
- NIMBUS MANTICORE
- The Gentlemen
なお、既存の攻撃グループに関する情報も更新されている。
| 攻撃グループ | 更新内容 |
|---|---|
| Salt Typhoon | メジャーバージョン更新 |
| APT38 | メジャーバージョン更新 |
| APT42 | マイナーバージョン更新 |
| Gamaredon Group | マイナーバージョン更新 |
また、ICS 領域では、新たなソフトウェアとして IOControl と BACKUPOSINT v9.0 APEX PREDATOR が追加された。
ICS 領域におけるコマンド実行や通信プロトコルの攻撃手法
産業用制御システムを対象とする ICS 領域でも、複数の重要な変更が加えられている。ICS 領域には、”Command and Scripting Interpreter” (コマンド／スクリプト・インタープリター) が追加された。このテクニックには、以下のサブテクニックが含まれる。
- JavaScript
- PowerShell
- Python
- Unix Shell
- Visual Basic
- Windows Command Shell
これにより、ICS 環境で悪用されるコマンドやスクリプトを通じた攻撃活動を、より詳細に分類できるようになる。
その一方で、従来の ICS における “Command-Line Interface” と “Scripting” のテクニックは非推奨となった。
DNS と Publish／Subscribe プロトコルのサブテクニックを追加
“Standard Application Layer Protocol” (標準アプリケーション層プロトコル) にも、新たなサブテクニックが追加された。対象となるのは以下のプロトコルである。
- DNS
- Publish／Subscribe プロトコル
さらに ICS 領域には、9件の行動ベースの検知戦略が追加された。ICS の検知戦略には、プラットフォームや資産に関するコンテキストも含まれるようになっている。これにより、産業用制御システムの環境や対象資産を考慮した、検知戦略の整理が可能になる。
Mobile 領域では過去の攻撃テクニックを再有効化
Mobile 領域では、”Deliver Malicious Application via Other Means” (その他の手段による悪意のアプリケーションの配信) が、非推奨状態から復帰した。このテクニックは、ATT&CK v11 を最後に非推奨となっていたが、今回の更新でバージョン 2.0 として再有効化された。
また、Mobile の検知戦略についても、Android／iOS における監視と可視性の制約を考慮するよう更新されている。モバイル端末では、OS の仕組みや利用可能な監視機能によって取得できる情報が異なるため、こうした制約を反映した検知戦略が重要となる。
ソフトウェア・サプライチェーン侵害のテクニックも更新
Enterprise 領域では、”Supply Chain Compromise: Compromise Software Dependencies and Development Tools” (サプライチェーン侵害：ソフトウェアの依存関係および開発ツールの侵害) がバージョン 2.0 に更新された。この変更も、今回の ATT&CK v20 で実施された、攻撃手法の見直しの一つとなっている。
セキュリティチームにとって必要な検知ルールとプレイブックの見直し
ATT&CK v20 の公開により、セキュリティチームはプロンプト・インジェクションやAIを利用した情報流出などのインシデントを、標準化された ATT&CK ID に対応付けられるようになった。
これにより、以下のようなセキュリティ運用の改善が期待される。
- 検知ルールの整備：新たに追加された AI 関連テクニックや検知戦略を参考に、既存の監視ルールを見直す。
- 脅威ハンティングの強化：ATT&CK の分類を活用し、AI関連の攻撃活動を対象とした脅威ハンティングを実施する。
- インシデント報告の標準化：共通の ATT&CK ID を使用することで、攻撃手法の分類やインシデント・レポートの記述を統一する。
- 検知カバレッジの再評価：新しいテクニックに対して既存の検知機能が対応しているかどうかを確認する。
- 対応プレイブックの更新：プロンプト・インジェクションや AI による情報流出といった、新たな攻撃手法を考慮して対応手順を見直す。
MITRE ATT&CK フレームワークを利用して、検知カバレッジを管理している組織に対して推奨されるのは、詳細な変更履歴を確認し、検知ルールやプレイブックを更新することである。
2026年10月27日／28日に、米国バージニア州マクリーンで開催される ATT&CKcon 7.0 で、MITRE は今回のリリースについて説明する予定である。
ATT&CK v20 は、AI を悪用する新たな攻撃手法を、既存の脅威分析／検知体系へ組み込むための重要な更新となっている。
この記事は、サイバー攻撃の戦術や技術を体系化する知見ライブラリである MITRE ATT&CK の最新版 v20 の公開について解説するものです。生成 AI システムの普及に伴うプロンプト・インジェクションや処理結果の汚染といった新たな脅威の登場が背景に存在します。影響として、従来型の防御手法の回避／AI 機能を介した機密情報の流出／産業用制御システムを含む多角的なインフラ侵害が生じる恐れがあります。対応策として、追加された検知戦略に基づく監視ルールの見直し／共通識別子を活用した脅威ハンティングの強化／最新プレイブックへの改訂が求められます。
You must be logged in to post a comment.