工具包结构
工具包文件组成 · 快速索引
文件结构
AI安全评估工具包/
│
├── 封面（本文件） ← 整体结构与使用说明
│
├── 第一部分：框架基础
│ ├── 四大框架总图谱.md 框架关系全景 · CKC→ATT&CK→ATLAS→NVIDIA
│ └── ATTACK-ATLAS双框架对照表.md ATT&CK × ATLAS 详细映射
│
├── 第二部分：评估方法论
│ ├── AI系统红队评估方案.md 评估流程与四步走方法论
│ └── AI-Red-攻防指南-学习笔记.md 红队知识储备 · 《AI Red Team攻防指南》核心
│
└── 第三部分：执行清单
├── AI安全评估Checklist.md 综合执行检查表 · 约80+检查项
└── OWASP-LLM-Top10-专项检查表.md OWASP LLM Top 10 逐项检查
框架体系（五层结构）
1
Cyber Kill Chain（7步）— 洛克希德·马丁 · 最宏观 · 适合高管战略汇报
↓ 细化
2
MITRE ATT&CK（14战术+数百技术）— 通用语言 · 红蓝对抗标准 · 渗透测试报告
↓ 适配AI
3
MITRE ATLAS（11战术+AI专属技术）— AI版ATT&CK · AI系统渗透测试专用
↓ NVIDIA简化
4
NVIDIA AI Kill Chain（5步）— NVIDIA · AI版CKC · 快速评估概览
↓ 应用落地
5
OWASP LLM Top 10（10个风险）— OWASP · AI应用层 · 十宗罪 · 逐项检查
12个攻击面全覆盖
🔴 提示词注入
直接/间接/记忆攻击 | ATLAS AML.T001/007
🔴 RAG管道攻击
投毒/提取/检索操纵 | ATLAS AML.T008
🔴 Agent系统攻击
目标劫持/工具滥用链 | ATLAS AML.T002/012
🟠 MCP协议攻击
钓鱼/路径穿越/工具滥用 | ATLAS AML.T012
🟠 向量数据库
嵌入逆序/投毒后门 | ATLAS AML.T008/011
🟠 训练数据投毒
数据污染/后门植入 | ATLAS AML.T005
🟡 ML基础设施
Ray/MLflow漏洞 | ATLAS AML.T015
🟡 供应链漏洞
开源模型篡改/第三方库 | ATLAS AML.T016
🟡 模型窃取
API提取/蒸馏 | ATLAS AML.T014
🟡 DoS攻击
上下文溢出/向量查询放大 | ATLAS AML.T004
🟡 过度依赖
幻觉导致错误决策 | OWASP LLM09
🟡 过度授权
Agent权限过大 | OWASP LLM08
评估方法论
四步走评估流程 · 框架映射 · 实战演示
四步走评估流程
01
情报收集
AI系统发现
RAG元数据
Agent枚举
RAG元数据
Agent枚举
02
攻击尝试
提示词注入
MCP攻击
向量数据库
MCP攻击
向量数据库
03
影响评估
数据外泄范围
行为篡改
业务损失
行为篡改
业务损失
04
修复验证
技术+管理修复
复测验证
持续改进
复测验证
持续改进
四步框架映射
| 步骤 | Cyber Kill Chain | ATT&CK | ATLAS |
|---|---|---|---|
| 情报收集 | Reconnaissance（侦察） | T1590-T1597（侦察类战术） | AML.T000 ML Reconnaissance |
| 攻击尝试 | Weaponization→Delivery→Exploitation | T1190（初始访问）、T1059（执行） | AML.T001/007（注入）、AML.T002（劫持） |
| 影响评估 | Actions on Objective | T1005（收集）、T1048（外泄） | AML.T008（外泄）、AML.T003（模型操纵） |
| 修复验证 | —（CKC不覆盖） | —（ATT&CK不覆盖） | —（ATLAS不覆盖） |
实战演示：同一攻击，四种视角
场景：攻击者通过RAG知识库投毒，最终窃取企业敏感文档
| 框架 | 描述（该视角下的表述） |
|---|---|
| Cyber Kill Chain | 侦察→武器化→投送→利用→安装→C2→行动（给高管，7步听懂） |
| ATT&CK | T1595.002主动扫描→T1190 RCE→T1059命令执行→T1543持久化→T1041外泄（技术报告） |
| ATLAS | AML.T000 RAG元数据探测→AML.T007间接注入→AML.T006持久化→AML.T008数据外泄（AI安全报告） |
| NVIDIA AI Kill Chain | Reconnaissance→Poisoning→Hijacking→Persistence→Impact（快速评估5句话） |
防御方断点策略
🛡️ Cyber Kill Chain 断点（7个）
侦察→减少暴露
投送→邮件过滤
利用→补丁管理
C2→流量监控
行动→DLP加密
传统安全
🛡️ NVIDIA AI Kill Chain 断点（5个）
Reconnaissance→限制元数据
Poisoning→摄入前沙箱
Hijacking→输入过滤
Persistence→向量库监控
Impact→外泄检测
AI安全
执行清单概览
OWASP LLM Top 10 · 风险评级 · 报告标准格式
OWASP LLM Top 10 风险概览
| # | 风险名称 | ATLAS对应 | ATT&CK | 风险等级 |
|---|---|---|---|---|
| LLM01 | Prompt Injection（提示词注入） | AML.T001/AML.T007 | T1190 | 严重 |
| LLM02 | Insecure Output Handling（不安全输出） | AML.T008 | T1005 | 严重 |
| LLM03 | Training Data Poisoning（投毒） | AML.T005 | — | 高 |
| LLM04 | Denial of Service（DoS） | AML.T004 | T1499 | 中 |
| LLM05 | Supply Chain（供应链） | AML.T015/016 | T1195 | 高 |
| LLM06 | Sensitive Info Disclosure（信息泄漏） | AML.T008 | T1005 | 严重 |
| LLM07 | Insecure Plugin Design（插件缺陷） | AML.T012 | T1059 | 严重 |
| LLM08 | Excessive Agency（过度授权） | AML.T002 | T1543 | 高 |
| LLM09 | Overreliance（过度依赖） | AML.T003 | — | 中 |
| LLM10 | Model Theft（模型窃取） | AML.T014 | T1005 | 中 |
每项发现的标准记录格式
发现编号：OWASP-LLM01-001 风险类型：LLM01 - Prompt Injection 子类型：□直接注入 □间接注入 □记忆攻击 ATLAS编号：AML.T001 / AML.T007 ATT&CK对应：T1190（初始访问） Cyber Kill Chain：Delivery（投送） NVIDIA AI Kill Chain：Poisoning（投毒） 技术描述：[具体描述攻击过程] 利用条件：[需要什么权限/访问？触发条件？] 业务影响： 1. 系统在做什么决策？ 2. 谁消费输出？ 3. 下游交易量？ 4. 潜在金融影响？ 5. 适用监管框架？ 6. 修复周期？ 修复建议：[技术层面] + [管理层面]
综合风险评级标准
| 等级 | 标准 | 修复周期 |
|---|---|---|
| 严重 | 可直接导致数据泄漏、系统沦陷、持久后门 | 24小时内 |
| 高 | 可导致敏感信息外泄或业务逻辑被操纵 | 1个月内 |
| 中 | 可导致信息收集或攻击面扩展 | 季度内 |
| 低 | 信息收集，无直接利用路径 | 半年内 |
交付结构与定价
报告模板 · 服务定价参考 · 工具清单
报告交付标准结构
执行摘要（1页，高管可读）
评估范围 · 风险评级汇总饼图 · 关键发现Top3
框架映射（展示评估依据）
CKC阶段覆盖 · ATT&CK技术编号列表 · ATLAS战术覆盖 · OWASP LLM Top 10覆盖
详细发现（每条包含）
OWASP编号+ATLAS/ATT&CK/CKC映射 · 技术描述+利用条件 · 业务影响六问 · 技术+管理双重修复建议
修复路线图（三阶段）
P0（24小时内）· P1（1个月内）· P2（季度内）
附录
框架对照表 · OWASP LLM Top 10说明 · 工具清单
服务定价参考
🔍 AI安全快速评估
¥5,000 - 15,000
框架覆盖版Checklist + 口头报告
交付周期：1-2天
交付周期：1-2天
🎯 AI系统红队评估
¥30,000 - 80,000
完整报告（OWASP+ATLAS+ATT&CK三框架）
交付周期：1-2周
交付周期：1-2周
📚 AI安全培训
¥10,000 - 30,000/天
框架讲解 + 实战演练
含本工具包全套文档
含本工具包全套文档
💼 AI安全年顾问
¥60,000 - 200,000/年
持续评估 + 报告 + 修复指导
含季度复测
含季度复测
工具清单
| 用途 | 工具 |
|---|---|
| AI系统发现 | HTTP指纹、端口扫描、Agent Card枚举 |
| 提示词注入 | 越狱模板、间接注入载荷、多轮渐进 |
| RAG测试 | emb_fin.py、Vec2Text、向量相似度探测 |
| MCP测试 | mcp-app-phish.py、CVE-2025-53109/53110 |
| 供应链扫描 | pip audit、Trivy、SBOM生成 |
| 框架映射 | ATT&CK Navigator、ATLAS Navigator |
7份文档清单
1
AI安全评估工具包-封面.md
整体结构、框架体系、交付标准、定价参考
2
四大框架总图谱.md
Cyber Kill Chain → ATT&CK → ATLAS → NVIDIA AI Kill Chain 关系
3
ATTACK-ATLAS双框架对照表.md
ATT&CK × ATLAS 战术详细映射，附攻击案例
4
AI系统红队评估方案.md
评估流程、四步走方法论、框架映射
5
AI-Red-攻防指南-学习笔记.md
《AI Red Team攻防指南》核心内容摘要
6
AI安全评估Checklist.md
综合执行检查表，覆盖各框架关键检查项
7
OWASP-LLM-Top10-专项检查表.md
OWASP LLM Top 10 逐项检查项+报告格式