ThreeFACE v2 Objects · 三面 × 4 顶层对象 聚合

TAICHU v2 Profile · 106 对象（去重）· 4 顶层对象 × 3 面 完整对齐  |  D59/D60 落盘 · 2026-07-08  |  v2 五方法 · v1.4 三面
§0 ContextId × 4 顶层对象 映射表 D52 修正：relay → HeavyAgent
L0-1 · PC
PC（本地 CLI）
taichu-cli/default
15 tool
11 sink
10 inj
L0-2 · taichuService
taichuService（cloud）
taichu-service/a-system-caller
11 tool
4 sink
3 inj
L0-3 · Mobile
Mobile（HarmonyOS NAPI）
taichu-ffi-v2/default
8 tool
⏸️ 备用
⚠️ Taint 例外
L0-4 · HeavyAgent
HeavyAgent（双进程）
taichu-service/relay-target + heavy-manager/*
10 tool
⏸️ 备用
❌ Taint 不存在
InjectSurface（注入面·SyncToolReturn）
TaintSurface（污染面·T1-T8）
HarmSurface（危害面·sink）
L0-1 PC
L0-2 taichuService
L0-3 Mobile
L0-4 HeavyAgent
纪律：每对象必标 4 顶层对象归属（"建立完全性"硬要求）；Mobile 工具面 ⏸️ 备用但 Taint 面 ⚠️ 真实可达（taichuService RPC：PCS/SAA/SkillLoad）；HeavyAgent 工具面 ⏸️ 备用且 Taint 面 ❌ 不存在（无独立 T 类对象池）。详见 D57 边界纪律 · Instance 级 MEMORY。
§7.1 InjectSurface 对象 × 4 顶层对象（35 对象：11 tool + 6 channel + 18⏸️）
L1 = 工具返回（mechanism·几乎只 1 类） → L2 = 7 私域/公域环境对象（PC文件·手机文件·聊天·邮件·URL·商家·UGC） L2 属性 = 可访问工具 + 私域/公域判定（D72 主判定原则：访问是否需身份认证） 📖 判定规则
tool / channel 注入等级 4 顶层对象 原始章节 状态 备注
PersonalContextSearch ★★★★★ L0-2 cloud §2.1 ✅ 真实 短信/邮件/相册/通讯录
SystemAutoAction ★★★★ L0-2 cloud §2.1 ✅ 真实 双重：Harm 5★ + Inject 4★
web_fetch ★★★★ L0-1 PC §1.5 ✅ 真实 URL 拉取内容
app_controller ★★★★ L0-1 PC §1.5 ⏸️ 备用 VLM 读屏反馈（功能未实现）
image_fetch ★★★★ L0-1 PC §1.5 ⏸️ 备用 PC 独占 · 功能未实现
SyncToolReturn #1 / #4 / #12 / #13 / #14 / #23 — 跨 4 L0 §5.10.1 ✅ 真实 InjectSurface 保留通道（6 个）
Mobile 8 tool（已计入上） — L0-3 Mobile §3 ⏸️ 整体备用
HeavyAgent 10 tool（已计入上） — L0-4 Heavy §4 ⏸️ 整体备用
隐藏：read / run_subagent (3★) · grep / web_search / WebSearch (2★) · find / ls (1★)
tool / channel 注入等级 4 顶层对象 原始章节 状态 备注
read ★★★ L0-1 PC §1.5 ✅ 真实 文件内容进 LLM
run_subagent ★★★ L0-1 PC §1.5 ⏸️ 备用 subagent 输出回主流
grep ★★ L0-1 PC §1.5 ✅ 真实 搜索结果行内容
web_search ★★ L0-1 PC §1.5 ✅ 真实 搜索结果
WebSearch ★★ L0-2 cloud §2.1 ✅ 真实 远端 RPC
find ★ L0-1 PC §1.5 ✅ 真实 文件名列表
ls ★ L0-1 PC §1.5 ✅ 真实 文件名列表
§7.1.5 Taint面 · T1-T8 本体论全局视图（行=T1-T8 · 列=4 顶层对象 · L0-2 taichuService 主 Agent 绿色边框 · 悬停看 v2_Profile ToolTip）
D89.1 表格版：每个 T 类目 cell 内先全量列出本体论定义的所有对象（小标签默认灰色 italic）， 如果在该 L0 上具备，则用对应顶层对象颜色（PC=蓝 / cloud=绿 / Mobile=橙 / Heavy=紫）染色； 主 Agent 列（cloud taichuService · L0-2）加绿色边框：用户直接交互的是 taichuService 云端主 Agent，PC 是独立小入口（用户可在 PC 端单独使用）， 但 PC 端不能反向调用 Mobile subAgent（设计禁止，PC→Mobile 单向不可达）· 补全层 用 + 前缀（橙色虚线框，D87）。
inactive · 本体论定义但不属该 L0
L0-1 PC
L0-2 cloud
L0-3 Mobile
L0-4 Heavy
+ = v2_data 补全层
T 类目 (L1)
↓ ontology 定义		 L0-1 PC
独立小入口		 L0-2 taichuService
主 Agent ★（用户直接交互）		 L0-3 Mobile
经 FFI/RPC		 L0-4 HeavyAgent
relay 镜像		 本体论
对象数
T1 短时记忆 会话内 messages Vec · 跨 4 L0 AgentState messages AgentState messages AgentState messages AgentState messages 1
T2 长时记忆 跨会话持久 + LCM + 同步 session-store context-engine (RAG) workspace-store lcm-summary-store lcm-dag ref-resolution lcm-assembler session-jsonl interaction-log session-sync session-store-filesystem lcm-database session-store context-engine (RAG) workspace-store lcm-summary-store lcm-dag ref-resolution lcm-assembler session-jsonl interaction-log session-sync session-store-filesystem lcm-database session-store context-engine (RAG) workspace-store lcm-summary-store lcm-dag ref-resolution lcm-assembler session-jsonl interaction-log session-sync session-store-filesystem lcm-database session-store context-engine (RAG) workspace-store lcm-summary-store lcm-dag ref-resolution lcm-assembler session-jsonl interaction-log session-sync session-store-filesystem lcm-database 12
T3 AgentCore config + 用户私域文件 Memory.md USER.md Identity.md settings_default.rs settings_default.rs settings_default.rs settings_default.rs config.yaml secret.yaml heavy-jwt-secret llm-api-key tool_domains.rs Memory.md USER.md Identity.md settings_default.rs settings_default.rs settings_default.rs settings_default.rs config.yaml secret.yaml heavy-jwt-secret llm-api-key tool_domains.rs Memory.md USER.md Identity.md settings_default.rs settings_default.rs settings_default.rs settings_default.rs config.yaml secret.yaml heavy-jwt-secret llm-api-key tool_domains.rs Memory.md USER.md Identity.md settings_default.rs settings_default.rs settings_default.rs settings_default.rs config.yaml secret.yaml heavy-jwt-secret llm-api-key tool_domains.rs 12
T4 Skill/MCP/Plugin 可加载扩展 · cloud only Skill 空间 工具空间 MCP 空间 Plugin 空间 SkillLoad SkillList SkillFormat Skill 空间 工具空间 MCP 空间 Plugin 空间 SkillLoad SkillList SkillFormat Skill 空间 工具空间 MCP 空间 Plugin 空间 SkillLoad SkillList SkillFormat Skill 空间 工具空间 MCP 空间 Plugin 空间 SkillLoad SkillList SkillFormat 7
T5 记忆服务 外部 SDK · Mobile only 小艺帮记 小艺记忆 其它记忆服务 小艺帮记 小艺记忆 其它记忆服务 小艺帮记 小艺记忆 其它记忆服务 小艺帮记 小艺记忆 其它记忆服务 3
T6 SubAgent 委派 agent 任务 · × 4 L0 run_subagent (subagent prompt) subagent tool return run_subagent (subagent prompt) subagent tool return run_subagent (subagent prompt) subagent tool return run_subagent (subagent prompt) subagent tool return 2
T7 本地文件 用户私域 FS · 3 L0 照片 (FS/FFI) 邮件 (App) 备忘录 (FS/App) 日程 (App) authorized_keys crontab workspace (/workspace) 照片 (FS/FFI) 邮件 (App) 备忘录 (FS/App) 日程 (App) authorized_keys crontab workspace (/workspace) 照片 (FS/FFI) 邮件 (App) 备忘录 (FS/App) 日程 (App) authorized_keys crontab workspace (/workspace) 照片 (FS/FFI) 邮件 (App) 备忘录 (FS/App) 日程 (App) authorized_keys crontab workspace (/workspace) 7
T8 定时任务 D86 重审可达 · 3 L0 cron tool cron-schedule systemd-timer app-scheduler cron tool cron-schedule systemd-timer app-scheduler cron tool cron-schedule systemd-timer app-scheduler cron tool cron-schedule systemd-timer app-scheduler 4
D89.1 表格版：行=T1-T8（8 类目）· 列=4 顶层对象（cloud taichuService 主 Agent 绿色边框）· 每 cell 先全量列本体论对象（默认灰色 italic inactive）， 在该 L0 实际具备则按顶层对象色染色 active（PC 蓝 / cloud 绿 / Mobile 橙 / Heavy 紫）· 补全层 用 + 前缀 + 橙色虚线框（D87）· 本体论对象数 = 去重后的对象总数（不包括灰色 inactive 计数）。 D89.2 命名精确化：T3 config 对象名用 v2_data.name 真实文件名（settings_default.rs / config.yaml / secret.yaml / tool_domains.rs）， 4 个重名 settings_default.rs 靠 ToolTip 的 path 字段区分（Taint-config-00/01/02/03）。 D89.5 系统架构：用户直接和 taichuService(cloud) 主 Agent 交互，PC 是独立小入口，PC 端不能反向调用 Mobile subAgent（设计禁止）。
§7.3 HarmSurface 对象 × 4 顶层对象（36 tool：14✅ + 4❌ + 18⏸️）
L1 = 7 主桶（按函数机制·互斥：📝文件 / ⚡系统执行 / 🤖子Agent / 🌐网络 / 🧰其它 / 🎨AIGC / 📱App） → L2 = 42 具体工具函数（每个 sink 自身·bash-rce / grep-rce / ...） L2 属性 = 单步危害度 L0/L1/L2 · SinkAction · SinkIntent · Severity 📖 框架定义
sev tool 危害等级 4 顶层对象 原始章节 状态 备注
5★ bash 5★ L0-1 PC §1.1 ✅ 真实
5★ SystemAutoAction 5★ L0-2 cloud §2.1 ✅ 真实 双重：Harm 5★ + Inject 4★
5★ FuncExec 5★ L0-2 cloud §2.1 + §2.4 ✅ 真实 v2_data 补全新 tool
4★ exec_cli 4★ L0-1 PC §1.1 ✅ 真实 聚合 sink（缺 specific_commands）
4★ exec_os_api 4★ L0-1 PC §1.1 ✅ 真实 聚合 sink
4★ grep 4★ L0-1 PC §1.1 ✅ 真实 聚合 sink
4★ write 4★ L0-1 PC §1.1 ✅ 真实
4★ edit 4★ L0-1 PC §1.1 ✅ 真实
4★ run_subagent 4★ L0-1 L0-2 §1.1 + §2.1 ✅ 真实 双登记
4★ app_controller 4★ L0-1 PC §1.1 ✅ 真实 ⏸️ 功能未实现（备用）
4★ CodeInterpreter 4★ L0-2 cloud §2.1 ✅ 真实
3-4★ web_fetch 3-4★ L0-1 PC §1.1 ✅ 真实 数据泄露
隐藏：read / web_search (L0) · cron / image_fetch / find / ls (缺登记) · Mobile 8 / Heavy 10 (整体备用)
sev tool 危害等级 4 顶层对象 原始章节 状态 备注
L0 read L0 L0-1 PC §1.1 ✅ 真实
L0 web_search L0 L0-1 PC §1.1 ✅ 真实
— cron（PC 独占） — L0-1 PC §1.2 #4 ❌ 缺登记 v2_Profile 缺独立 sink
— image_fetch（PC 独占） — L0-1 PC §1.2 #5 ❌ 缺登记 v2_Profile 缺独立 sink
— find — L0-1 PC §1.2 #6 ❌ 缺登记 v2_Profile 缺独立 sink
— ls — L0-1 PC §1.2 #7 ❌ 缺登记 v2_Profile 缺独立 sink
— Mobile 8 tool 全集 — L0-3 Mobile §3.1 ⏸️ 整体备用 app_controller / edit / find / ls / read / run_subagent / web_fetch / write
— HeavyAgent 10 tool 全集 — L0-4 Heavy §4.1 ⏸️ 整体备用 app_controller / bash / edit / find / grep / ls / read / run_subagent / web_fetch / write
§7.5 AP 攻击路径全景（14 AP 全部可达 · D86 T1/T8 重审完成 · Top 3 ⭐ · 紧凑卡片 + 5 跳故事）14 AP · 全部可达 · schema v3.3.0 · 2026-07-09
📄 14_APs_CONSOLIDATED.md 29 KB · 14 AP 全部可达 · AP-2001~2016 (含 D86 新增 2015+2016) ⬇ 下载 📊 ap_collection.json v3.3.0 · 14 AP 数据 · 全部可达 ⬇ 下载 🎯 coverage_matrix.json v3.1 · Taint L1 100% ✅ · L2 8/23 (35%) · D86 激活 ⬇ 下载
Inject 注入面
L1 1/1 (100%) ✅
L2 6/7 (86%) · 公域·商家 0% (AP-008 已删 · 待设计替代)
Taint 污点面
L1 8/8 (100%) ✅ · D86 重审激活（T1 AP-2015 + T8 AP-2016）
L2 8/23 (35%) · +T1 messages Vec +T8 cron/systemd/App scheduler
Harm 危害面
L1 7/7 (100%) ✅
L2 12/42 (29%) 全部可达（9 核心 AP 触发 + 3 sink 变体参考）
§7.5.1 保留组 · 9 AP（D74 重排 · D76 本体论修正 · Top 3 ⭐ 高亮 · 悬停查看 5 跳故事 + 受害/资产/事件 + 三面覆盖）
AP-2001 ⭐ Top 1 9.8
T3 .claude/config.json LLM provider URL 改向
🎯 T3 .claude/config.json
4/5 SI
👤 用户意图
用户让 Agent「升级 claude-code 配置」
🛠 引入工具
📧 邮件附件（.claude/config.json 伪装包）
📖 5 跳故事
私域邮件投递伪 claude-code 配置更新包 → 用户让 Agent「升级」→ SyncToolReturn 二次回注 → 改 .claude/config.json 中 default_llm_provider URL → 后续所有 LLM 请求（含聊天记录 / 邮件 / 凭据 / 文件路径）被 attacker 中间人截获
🎯 受害 / 资产 / 事件
受害机主 + 所有 LLM 流量
资产所有 LLM provider 数据 + 凭据 + 邮件 + 文件路径
事件全 LLM 流量劫持 + 持续凭据泄露 + 邮件/聊天/文件全监控
🗂 Taint · 3 层落点（顶层对象 → 文件 → 行/对象）
顶层对象PC
文件 path~/.claude/config.json
行/对象L5-15 · default_llm_provider + telemetry_on 键
🏷️ SinkIntent 5 维
DataExfil PrivEsc MemoryPoison C2
📊 三面 L1/L2 摘要
InjectL1=工具返回 · L2=私域·邮件
TaintL1=T3 AgentCore · L2=.claude/config.json
HarmL1=🌐网络+🧰其它 · L2=dmq-kafka-publish
D78 精简 · T3 AgentCore L1 最高分 · D80 AP-2001 重编号
AP-2002 ⭐ Top 2 9.8
短信私域附件注入 + SSH 密钥持久化后门
🎯 T7 ~/.ssh/authorized_keys
4/5 SI
👤 用户意图
用户点击 SMS 短信中的 URL 链接
🛠 引入工具
📱 mobile_sms（SMS 短信 URL）
📖 5 跳故事
SMS 短信含恶意 URL → 用户点击 → web_fetch 注入 → write_file 追加 attacker SSH 公钥到 ~/.ssh/authorized_keys → 免密 SSH 登录 → 长期后门
🎯 受害 / 资产 / 事件
受害机主 PC + 公司内网
资产PC 完整控制 + AWS IAM + K8s 集群 + 公司代码
事件SSH 永久后门 + 凭据全量泄露 + 内网横向 + 云账号接管
🗂 Taint · 3 层落点（顶层对象 → 文件 → 行/对象）
顶层对象PC
文件 path~/.ssh/authorized_keys
行/对象末行追加 1 行 · ssh-rsa AAAAB3N... attacker@evil
🏷️ SinkIntent 5 维
PersistBackdoor PrivEsc LateralMovement DataExfil
📊 三面 L1/L2 摘要
InjectL1=工具返回 · L2=私域·手机文件
TaintL1=T7 本地文件 · L2=~/.ssh/authorized_keys
HarmL1=⚡系统执行+📁文件操作 · L2=write-file+bash-rce
D78 精简 · T7 本地文件 L1 最高分 · D80 AP-2002 重编号
AP-2006 ⭐ Top 3 v3 8.7
SMS 工具返回劫持 + 通讯录全量泄露 + 群发钓鱼指数扩散
🎯 PersonalContextSearch 短信子通道 → SyncToolReturn #1（私域·手机文件 · L0-2 cloud）
5/5 SI
👤 用户意图
用户让 Agent「读短信/查看新消息」
🛠 引入工具
📱 mobile_sms（SMS 读取工具返回被劫持）
📖 5 跳故事
SMS 工具返回劫持 → LLM 当次执行恶意指令 → contact-read 全量通讯录 + mobile_sms_send 群发钓鱼 → 指数扩散 500+ 联系人
🎯 受害 / 资产 / 事件
受害500+ 通讯录联系人 + 50+ 银行账号受害者
资产500+ 联系人隐私 + 50+ 银行账号 + 5000-20000 元
事件指数扩散 10x/24h + 银行收割 + 法律连带责任
🗂 Taint
无 Taint（单跳 Source-Sink 对）
🏷️ SinkIntent 5 维
DataExfil LateralMovement PrivEsc Phishing ActionHarm
📊 三面 L1/L2 摘要
InjectL1=工具返回 · L2=私域·手机文件
Taint无 Taint（单跳攻击）
HarmL1=📱App_controller+🌐网络 · L2=contact-read+mobile_sms_send
D76 v3 修正 · 1 次 Source-Sink 对 · D80 AP-2006 重编号
AP-2003 9.4
恶意 MCP config + 子 Agent 嵌套创建 + Manifest 持久化链
🎯 T6 subagent_manifest.yaml
4/5 SI
👤 用户意图
用户让 Agent「安装新 MCP 工具」
🛠 引入工具
📧 邮件附件（mcp.json 伪装包）
📖 5 跳故事
私域邮件投递恶意 MCP config → SkillLoad → agent_create 子Agent → 嵌套递归 → Manifest 持久化 → bash-rce 后门
🎯 受害 / 资产 / 事件
受害a-system 服务端 + 所有 session
资产云端执行能力 + 嵌套 Agent 树
事件嵌套 Agent 持久后门 + 跨 session 持续 RCE
🗂 Taint · 3 层落点（顶层对象 → 文件 → 行/对象）
顶层对象a-system (taichuService)
文件 pathservices/rust/subagent/manifest/subagent_manifest.yaml
行/对象末段追加 5+ 行 · 5 个子 Agent entry（name+system_prompt+tools 字段）
🏷️ SinkIntent 5 维
PrivEsc PersistBackdoor ActionHarm MemoryPoison
📊 三面 L1/L2 摘要
InjectL1=工具返回 · L2=私域·邮件
TaintL1=T4 Skill/MCP+T6 SubAgent · L2=subagent_manifest.yaml
HarmL1=🤖子Agent+⚡系统执行 · L2=agent-create+bash-rce
D78 精简 · D80 AP-2003 重编号
AP-2004 9.2
恶意 SKILL.md 邮件投递 + SkillLoad 持久化装载链
🎯 T4 Skill 装载空间
4/5 SI
👤 用户意图
用户让 Agent「加载新 Skill」
🛠 引入工具
📧 邮件附件（SKILL.md 伪装包）
📖 5 跳故事
邮件附件投递恶意 SKILL.md → SkillLoad 持久化 → 下次会话 auto-load → run_subagent + CodeInterpreter → 云端 RCE
🎯 受害 / 资产 / 事件
受害a-system 服务端 + 所有 a-system 用户
资产CodeInterpreter 沙箱 + 服务端文件 + LLM provider config
事件沙箱逃逸 RCE + 跨用户 Skill 分发传染
🗂 Taint · 3 层落点（顶层对象 → 文件 → 行/对象）
顶层对象a-system (taichuService)
文件 patha-system Skill 加载路径（每 Skill 一个目录） + Skill 注册表
行/对象新 Skill 目录 · SKILL.md L1-3 头部含 + 注册表 1 行 entry
🏷️ SinkIntent 5 维
PrivEsc ActionHarm PersistBackdoor MemoryPoison
📊 三面 L1/L2 摘要
InjectL1=工具返回 · L2=私域·邮件
TaintL1=T4 Skill/MCP · L2=Skill 装载空间
HarmL1=🤖子Agent+🎨AIGC · L2=subagent-delegation-exec+CodeInterpreter
D78 精简 · D80 AP-2004 重编号
AP-2005 9.2
UGC 公域内容注入 + mongodb-user-data 配置劫持
🎯 T5 mongodb-user-data
4/5 SI
👤 用户意图
用户让 Agent「抓取公域 UGC 帖子」
🛠 引入工具
🌐 web_fetch（公域 UGC 抓取）
📖 5 跳故事
公域 UGC 帖子 → web_fetch 抓取 → SyncToolReturn 注入伪 system prompt → mongodb user_preferences 持久化 → 跨用户同步 → settings.write DNS/LLM provider 劫持
🎯 受害 / 资产 / 事件
受害机主 + 家庭组成员
资产LLM provider + DNS + Skill 权限
事件DNS 改向后门 + 流量劫持 + 家庭组扩散
🗂 Taint · 3 层落点（顶层对象 → 文件 → 行/对象）
顶层对象a-system (taichuService)
文件 pathservices/java/mongodb-user-data/collections/user_preferences/
行/对象3 条新 document · fields: dns_server / default_llm / skills_enabled
🏷️ SinkIntent 5 维
PrivEsc PersistBackdoor LateralMovement DataExfil
📊 三面 L1/L2 摘要
InjectL1=工具返回 · L2=公域·UGC
TaintL1=T5 记忆服务 · L2=mongodb-user-data/user_preferences
HarmL1=🧰其它 · L2=settings.write+config_write
D78 精简 · D80 AP-2005 重编号
AP-2009 8.3
session-store 持久化污染 + Kafka 外发数据泄露
🎯 T2 session-store
3/5 SI
👤 用户意图
用户让 Agent「用子 Agent 跑子任务」
🛠 引入工具
🤖 run_subagent（子 Agent tool 返回被劫持）
📖 5 跳故事
run_subagent → SubagentToolReturn 注入 → session-store 持久化 → 跨会话加载 → dmq-kafka-publish 外发
🎯 受害 / 资产 / 事件
受害用户 + 同步设备
资产全量工作摘要 + 聊天/邮件/文件索引
事件持续 Kafka 外发 + 凭据泄露
🗂 Taint · 3 层落点（顶层对象 → 文件 → 行/对象）
顶层对象a-system (taichuService)
文件 pathservices/java/session-store/src/main/java/com/taichu/sessionstore/storage/
行/对象Cassandra session_state_ 行 · 新增 1 条 SystemMessage 记录（含恶意 payload）
🏷️ SinkIntent 5 维
DataExfil MemoryPoison LateralMovement
📊 三面 L1/L2 摘要
InjectL1=工具返回 · L2=公域（子Agent tool 来源）
TaintL1=T2 长时记忆 · L2=session-store
HarmL1=🌐网络 · L2=dmq-kafka-publish
D78 精简 · D80 AP-2009 重编号
AP-2007 8.3
bash-rce 通过 web_fetch 拉取的恶意脚本执行
🎯 SF-01-exec (Harm 启点 · 无 Taint)
2/5 SI
👤 用户意图
用户让 Agent「整理这个 URL 的文档」
🛠 引入工具
🌐 web_fetch（attacker 控制 URL）
📖 5 跳故事
用户让 Agent 整理 URL 文档 → web_fetch 拉取 attacker 控制 URL → 返回内容含 shell 脚本 → bash-rce RCE
🎯 受害 / 资产 / 事件
受害机主 PC
资产PC 完整控制权 + 内网访问
事件任意命令执行 + 凭据窃取
🗂 Taint
无 Taint（单跳 Source-Sink 对）
🏷️ SinkIntent 5 维
ActionHarm PrivEsc
📊 三面 L1/L2 摘要
InjectL1=工具返回 · L2=公域·URL链接
Taint无 Taint（单跳攻击）
HarmL1=⚡系统执行 · L2=bash-rce
D74 Harm 启点 · 无 Taint · 不受降权 · D80 AP-2007 重编号
AP-2008 v2 8.3
敏感文件读取 + dmq 外发（D77 方向错修正 + D78 合并）
🎯 web_fetch (★★★★·L0-1 PC·公域 UGC) → SyncToolReturn #13
3/5 SI
👤 用户意图
用户让 Agent「抓取公域 UGC 内容」
🛠 引入工具
🌐 web_fetch（公域 UGC 帖子 SyncToolReturn 被劫持）
📖 5 跳故事
公域 UGC 帖子 → web_fetch SyncToolReturn 注入 → read-file 敏感文件 (/etc/passwd + ~/.ssh/id_rsa + ~/.aws/credentials) → dmq-kafka-publish 外发 → 凭证全量泄露
🎯 受害 / 资产 / 事件
受害机主 + 同事 + 云账号
资产/etc/passwd + SSH 私钥 + AWS credentials
事件凭证全量泄露 + 内网横向 + 云账号接管
🗂 Taint
无 Taint（单跳 Source-Sink 对）
🏷️ SinkIntent 5 维
DataExfil PrivEsc LateralMovement
📊 三面 L1/L2 摘要
InjectL1=工具返回 · L2=公域·UGC
Taint无 Taint（单跳攻击）
HarmL1=📁文件操作+🌐网络 · L2=read-file+dmq-kafka-publish
D77 v1 方向错修正 · D78 合并原 AP-021 · D80 AP-2008 重编号
§7.5.2 全 AP 列表 · 14 条（D89.4 结果呈现页面 · 不区分 kept/demoted · 14 条全部可达）
AP ID启点 L1启点 L2说明（D80 编号 / 关联）评分
AP-2001T3Memory.mdT3 AgentCore L1 最高分9.8
AP-2002T7本地文件T7 本地文件 L1 最高分9.8
AP-2003T6—T6 持久化9.5
AP-2004———9.3
AP-2005T5vector-storeT5 已被 AP-2005 覆盖 · sink 变体参考9.2
AP-2006———9.1
AP-2007———9.0
AP-2008——D77 v1 方向错修正 · D78 合并原 AP-0219.0
AP-2009———8.8
AP-2010T3Memory.mdT3 已被 AP-2001 覆盖 · sink 变体参考6.4
AP-2011T7/etc/cron.d/T7 已被 AP-2002 覆盖 · cron 自启二次触发7.2
AP-2012T5vector-storeT5 已被 AP-2005 覆盖 · sink 变体参考6.0
AP-2015T1messages VecD86 重审新增 · T1 短时记忆 · 宽泛偏好 + 用户下一轮触发8.7
AP-2016T8cron/systemd/App schedulerD86 重审新增 · T8 定时任务 · 跨 PC/Mobile/cloud 三层9.9
§7.4 三面对象数总览（4 顶层对象 × 3 面）合计 106 对象（去重）
L0-1 PC
独立小入口		 L0-2 taichuService
主 Agent ★		 L0-3 Mobile
经 FFI/RPC		 L0-4 HeavyAgent
relay 镜像		 本行
小计
InjectSurface
攻击入口		 11 tool + 4 ch 3 tool + 4 ch 8 ⏸️ 备用 10 ⏸️ 备用 32
TaintSurface
持久化		 23 19 20 ⚠️ 真实 14 ❌ 不存在 76
HarmSurface
危害函数		 14 ✅ + 4 ❌ 4 ✅ 8 ⏸️ 备用 10 ⏸️ 备用 36
本列小计 56 30 36 34 144
图例 · ✅ 真实可达 · ⏸️ 备用 · ⚠️ 真实但 RPC 限制 · ❌ 不存在 · 合计 144 = 4 L0 × 3 面原始统计（含重叠）· 去重后 106 对象