MITRE ATLAS — Marco de amenazas a sistemas de IA

Los sistemas basados en aprendizaje automático tienen superficies de ataque únicas que no encajan en las categorías tradicionales de software: envenenamiento de conjuntos de datos de entrenamiento (Data Poisoning), evasión de clasificadores mediante perturbaciones sutiles (Adversarial Examples) o robo de modelos por inferencia. MITRE ATLAS nació para documentar estos casos reales con un vocabulario común para atacantes y defensores.

La matriz ATLAS cubre doce tácticas que siguen el ciclo de vida del adversario: desde Reconocimiento (descubrir qué modelo usa la víctima) y Acceso Inicial (mediante interfaces web o APIs), pasando por Manipulación de Datos (Data Poisoning en pipelines de entrenamiento), hasta Evasión, Exfiltración de Modelos e Impacto en el negocio (degradar el rendimiento del modelo para causar pérdidas).

Una de las técnicas documentadas más clásicas de ATLAS (AML.T0015) es la perturbación adversaria: modificar sutilmente una entrada (un archivo ejecutable o una imagen) añadiendo ruido imperceptible para el ojo humano o para el usuario, pero que provoca que el clasificador de aprendizaje automático del antivirus clasifique el malware como benigno con un 99% de confianza.

Al realizar un ejercicio de Red Team contra una aplicación que integra IA, el informe profesional no debe limitarse a decir «el modelo falló»: debe mapear cada hallazgo contra las técnicas de ATLAS (por ejemplo, AML.T0054 para inyección de prompts, AML.T0024 para exfiltración de modelo). Este rigor técnico permite a los ingenieros de Machine Learning y al CISO entender exactamente qué control de mitigación aplicar.