威胁验证总览 · 三面两层结构 · 校准草图 v1 (待审)

决策前提

目的：从本体论对齐合法"共计面"枚举。
排除直接用户输入（PS-USER_MSG）— 注入面只算间接注入。
平台分层：taichu Service（手机端） / taichuPC（PC 端）/ 云中控。
平台限定：

- Skill 安装（第三方 Skill 植入）= 仅 taichuPC 平台支持；端侧 Service 不支持。

- 端侧 PC 唯一差异点：本地文件系统路径白名单、PC 端跨进程 Shell 调用。

AP 平台归属下一步再完整标记（AP-04 / AP-07 / AP-104 等暂留 ❓）。
每张 AP 卡片目标平台须有标准三值字段：PLATFORM_SERVICE / PLATFORM_PC / PLATFORM_CLOUD。

① 注入面 · 两层

Layer 1 · 受信对象 (信源本体论对象)

> 排除：直接用户输入（User_Instruct / UserMessage）、排除 Agent 内部对象（Memory/Config/Session）。

枚举值	本体论对象	含义	平台
`INJ_OBJ.WebResource`	ExternalEnv.WebResource	远程 URL / HTTP 响应内容	Service / PC / 云
`INJ_OBJ.SearchResult`	ExternalEnv.SearchResult	搜索 snippet / SEO 投毒	Service / PC / 云
`INJ_OBJ.LocalFile`	ExternalEnv.LocalFile	本地文件 PDF/Office/图片（OCR）	Service / PC
`INJ_OBJ.MobileSMS`	ExternalEnv.MobileSMS	手机短信收件箱	Service / PC
`INJ_OBJ.MobileEmail`	ExternalEnv.MobileEmail	邮箱内容（IMAP 扫）	Service / PC
`INJ_OBJ.MobileContact`	ExternalEnv.MobileContact	通讯录条目	Service / PC
`INJ_OBJ.MobilePhoto`	ExternalEnv.MobilePhoto	相册 EXIF / OCR 文本	Service
`INJ_OBJ.VLMScreenshot`	ExternalEnv.VLMScreenshot	屏幕截图（视觉注入）	Service / PC
`INJ_OBJ.AudioInput`	ExternalEnv.AudioInput	语音转录文本（语音伪造）	Service / PC
`INJ_OBJ.SkillMd`	ExternalEnv.SkillMd	Skill 市场中的 SKILL.md	仅 PC
`INJ_OBJ.SkillMarket`	ExternalEnv.SkillMarket	第三方 Skill 商店 / 安装包	仅 PC
`INJ_OBJ.CalendarInvite`	ExternalEnv.CalendarInvite	日程邀请正文	Service / PC
`INJ_OBJ.CRONTable`	ExternalEnv.CRONTable	用户 cron 任务源（被污染）	Service / PC
`INJ_OBJ.WebForm`	ExternalEnv.WebForm	网页表单内容	Service / PC

Layer 2 · 引入工具 (Tool / API)

枚举值	本体论 Tool 子类	含义	落点对象
`INJ_TOOL.web_fetch`	WebTool	HTTP GET 工具	WebResource
`INJ_TOOL.web_search`	WebTool	Tavily / 搜索 API	SearchResult
`INJ_TOOL.PCS`	(TaiChu 专属) PersonalContextSearch	个人上下文检索	SMS / Email / Contact / LocalFile
`INJ_TOOL.SAA`	SkillAssistantApi	SkillAssistant API（不含 Skill 安装）	SkillMd（注：仅 PC 平台）
`INJ_TOOL.app_controller`	HDCTool.app_controller	端侧设备控制器	VLMScreenshot / Calendar
`INJ_TOOL.cron`	(sys) cron	系统定时任务	CRONTable
`INJ_TOOL.write`	FileIOTool	通用写入（含 Memory/Skill 文件）	（归入扩散面）

AP 落点（待标）

AP	Layer1	Layer2	平台
AP-01	WebResource	web_fetch	❓
AP-02	WebResource	web_fetch	❓
AP-09	SearchResult	web_search	❓
AP-100	MobileSMS	PCS	❓
AP-11	VLMScreenshot	app_controller	❓
AP-101	Memory.shortMemory.AutoCompact (短时记忆压缩 API)	(self-trigger)	❓
AP-04	(云 API 返回 / 服务器侧 prompt)	run_subagent (云→端下发)	❓
AP-05	SkillMd (SkillMarket)	SAA + Skill.install	仅 PC
AP-06	session-sync 跨设备会话	session-sync	❓
AP-07	Config.configFile (.taichu.json)	bash/直读	❓
...

② 危害面 · 两层

Layer 1 · Harm 定义 (结果类别 = strategic_intent 5 值 + 实战子分类)

枚举值	strategic_intent	含义
`HARM.Persistence`	StrategicIntent-Persistence	持久化驻留（固定 Payload 反复触发）
`HARM.Exfiltration`	StrategicIntent-Exfiltration	数据 / 凭证外泄
`HARM.Impact`	StrategicIntent-Impact	现实危害达成（破坏 / 转账 / 篡改等）
`HARM.LateralMovement`	StrategicIntent-LateralMovement	跨设备 / 跨 App 横向移动
`HARM.C2`	StrategicIntent-C2	LLM-native C2：MEMORY.md/SKILL.md 改造成指令轮询通道
`HARM.Ransomware`	(Impact 子类)	加密文件勒索（暂留，无实测）
`HARM.PrivEsc`	(sink)	权限升级（最终目的仍归 Impact）

Layer 2 · Sink 函数 + SinkIntent (7 值 open-registered)

Sink 函数	Tool 类	默认 SinkIntent	平台
`exec_os_api`	HDCTool.ArkTSBridge	PrivEsc / IdentityForge	Service / PC
`exec_cli`	TerminalTool	PrivEsc	Service / PC
`bash`	TerminalTool	PrivEsc	Service / PC
`write` (SAA)	FileIOTool	MemoryPoison / ConfigTamper	Service / PC
`cron`	sys-cron	MemoryPoison (持久 Payload 驻留)	Service / PC
`sendShortMessage`	HDCTool.SMS	DataExfil / LateralMovement	Service
`app_controller`	HDCTool.Controller	ActionHarm / DataExfil	Service / PC
`searchMessage`	HDCTool.SMS.search	(read-only, Privilege 数据采集)	Service / PC
`run_subagent`	SubAgent	MemoryPoison / C2	云 → Service/PC
`PCS.read`	PCS	DataExfil (读)	Service / PC
`web_fetch` / `web_search`	WebTool	（归入 Layer1 注入源）	—
`SkillLoad`	Skill	MemoryPoison / ConfigTamper (装载恶意 SKILL.md)	仅 PC

AP 落点（待标）

AP	Layer1 Harm	Layer2 Sink (函数 + SinkIntent)
AP-01	HARM.Persistence	write→MemoryPoison
AP-02	HARM.Persistence + HARM.C2	cron→MemoryPoison
AP-100	HARM.Exfiltration	sendShortMessage→DataExfil
AP-09	HARM.Exfiltration	app_controller.screenshot→DataExfil
AP-10	HARM.LateralMovement	sendShortMessage→LateralMovement
AP-04	HARM.C2 (云 → 端下发)	run_subagent→MemoryPoison
AP-05	HARM.Persistence + HARM.C2	SkillLoad→MemoryPoison (Skill SKILL.md)
AP-07	HARM.C2 (LLM-native C2 via gateway)	bash/直读→ConfigTamper
AP-08	HARM.Exfiltration	exec_os_api→IdentityForge (OAuth Token)
AP-104	HARM.PrivEsc (理论)	exec_os_api→PrivEsc
...

③ 扩散面 · 两层

Layer 1 · 受扩散的对象 (= Agent 本体论"内部对象")

> 范围：所有 Agent 自身 content/config/memory/session 类对象。无 config 禁令，无 memory 禁令。

枚举值	本体论对象	含义	平台
`DIFF_OBJ.MEMORY_MD`	Memory.longTerm (LongTermMemory)	长期记忆文件 MEMORY.md	Service / PC
`DIFF_OBJ.SHORT_MEMORY`	Memory.shortTerm (ShortTermMemory)	短期记忆内容	Service / PC
`DIFF_OBJ.SHORT_MEMORY_AutoCompact`	Memory.shortMemory.AutoCompact	短期记忆压缩 API（机制对象）	Service / PC
`DIFF_OBJ.SKILL_MD`	Skill.file	Skill SKILL.md	仅 PC
`DIFF_OBJ.SKILL_REGISTRY`	SkillRegistry	Skill 注册表条目	仅 PC
`DIFF_OBJ.SESSION`	SessionManager	会话管理（session-sync）	Service / PC / 云
`DIFF_OBJ.CONFIG`	SystemConfig (.taichu.json)	Agent 自有配置	Service / PC / 云
`DIFF_OBJ.GATEWAY`	Gateway (.taichu.json 中 API key / url)	LLM 网关配置	Service / PC / 云
`DIFF_OBJ.PROVIDER_CONFIG`	ProviderConfig	LLM Provider 配置	Service / PC / 云
`DIFF_OBJ.CRON_TABLE`	(sys) cron	用户 cron 任务表	Service / PC
`DIFF_OBJ.LOCAL_FS_PROMPT`	LocalFsPromptBuilder	Skill 安装时的本地 FS prompt 缓存	仅 PC
`DIFF_OBJ.SHORTCUT_WAKEUP`	HarmonyOS.WAKEUP systemTimer	系统定时唤醒 API	Service

Layer 2 · 扩散范围 (拓扑)

枚举值	含义
`RANGE.SINGLE_SESSION`	单会话内
`RANGE.MULTI_SESSION`	同一设备所有后续会话
`RANGE.SINGLE_DEVICE`	单设备（当前）
`RANGE.CROSS_DEVICE`	跨设备云同步（Service ↔ PC ↔ 车机）
`RANGE.CLOUD_TO_DEVICE`	云端 → 端侧下发
`RANGE.ALL_DEVICES`	所有已同步设备
`RANGE.CLOUD_SERVICES`	华为全系云服务
`RANGE.DEVICE_TO_DEVICE`	设备 → 设备（蓝牙/USB/近场）

AP 落点

AP	Layer1 对象	Layer2 范围	平台
AP-01	DIFF_OBJ.MEMORY_MD	CROSS_DEVICE	❓
AP-02	DIFF_OBJ.CRON_TABLE + DIFF_OBJ.SHORTCUT_WAKEUP	SINGLE_DEVICE	❓
AP-05	DIFF_OBJ.SKILL_MD + DIFF_OBJ.LOCAL_FS_PROMPT	MULTI_SESSION	仅 PC
AP-06	DIFF_OBJ.MEMORY_MD	ALL_DEVICES	❓
AP-07	DIFF_OBJ.CONFIG + DIFF_OBJ.GATEWAY	ALL_SESSIONS	❓
AP-101	DIFF_OBJ.SHORT_MEMORY_AutoCompact	SINGLE_SESSION	❓

⚠️ 与当前数据的差异（v1）

项	v0 草图	v1 草图（最新）
CONFIG_FILE / GATEWAY	⚠️ 争议移出	✅ 放在扩散面 layer1（DIFF_OBJ.CONFIG + GATEWAY）
MEMORY_MD	⚠️ 我误判你禁令	✅ 标准扩散对象，命名 = 本体论 `Memory.longTerm`
AutoCompact（AP-101）	❓ INTERNAL_TRIGGER	✅ `Memory.shortMemory.AutoCompact` (API 对象)
Skill 安装（AP-05）	端侧 Service 也支持	✅ 仅 taichuPC，端侧不支持
SinkIntent 枚举	SI-01 ~ SI-08（ad-hoc）	✅ 本体论 7 值（PrivEsc · SecurityDegrade · IdentityForge · MemoryPoison · ConfigTamper · DataExfil · ActionHarm）
平台分层	Service / PC / 云含混	✅ 三平台显式标注，AP 落点暂标 ❓ 等你下次拍板
HARM.C2	缺失	✅ 新增（与 Persistence 区分）

🎯 下一轮待拍板

1. 平台归属 完整标 14 个 AP（目前 AP-04 / AP-07 / AP-104 / AP-08 等挂 ❓）

2. SinkIntent 是否拆分 SecurityDegrade / IdentityForge（与 PrivEsc 区分度）

3. SHORT_MEMORY_AutoCompact 是否独立成行还是合并入 SHORT_MEMORY

4. SAA 范围：除了 Skill 安装，是否还含其他与 Skill 相关的注入工具

5. 三层具体枚举漏项：我穷举的是按本体论现有的类（base/capability/tool/gateway 等），请你看完去重/调整

6. 范围拓扑 是否增 DEVICE_TO_DEVICE（蓝牙/USB 链路）