| 项 | v1 假设 | v2 按 Tool.md 修正 |
|---|---|---|
SAA 定义 |
❌ 我误以为 SAA = Skill Assistant API | ✅ SAA = SystemAutoAction（应用操控+信息检索统一名称） |
web_fetch |
✅ 列在 Layer2 | ❌ v2 移除（已并入 WebSearch / SystemAutoAction） |
web_search |
✅ 列 | ✅ 改名 WebSearch（统一网络搜索） |
app_controller |
✅ 列 | ✅ 改名 SystemAutoAction（统一应用操控） |
cron / write / read |
✅ 列 sink | ❌ v2 全部下沉到 OS 层 / 通过 FunctionExec 替代 |
FunctionExec |
❌ 漏列 | ✅ 列为 Sink 工具（壳），但标明壳工具 = 需看内部装载哪个 SKILL.md 的方法才有真危害 |
DiscoverRemoteAgents |
❌ 漏列 | ✅ 不入危害面（仅 PC 端调度用，无特别危害） |
OpenApp / CloseApp |
❌ 漏列 | ✅ 不入危害面（无明确危害） |
CodeInterpreter |
❌ 漏列 | ✅ 入 sink 但标注"云侧沙箱·环境受限"，与 exec_cli/exec_os_api（端侧）严格区分 |
NoReply / GoAhead |
— | ✅ 不入三面（控制流） |
SkillLoad |
✅ 列 Layer2 | ✅ 维持，但实际它是"装载 SKILL.md 进上下文"，可作为 Skill 注入的入口 |
> 排除直接用户输入（PS-USER_MSG）。Agent 内部对象（Memory/Config/Session）只入扩散面。
| 枚举值 | 本体论对象 | 含义 | 平台 |
|---|---|---|---|
INJ_OBJ.WebResource |
ExternalEnv.WebResource | 远程 URL / HTTP 响应 | Service / PC / 云 |
INJ_OBJ.SearchResult |
ExternalEnv.SearchResult | WebSearch snippet / SEO 投毒 | Service / PC / 云 |
INJ_OBJ.LocalFile |
ExternalEnv.LocalFile | 本地文件 PDF/Office/图片 OCR | Service / PC |
INJ_OBJ.MobileSMS |
ExternalEnv.MobileSMS | 手机短信收件箱 | Service / PC |
INJ_OBJ.MobileEmail |
ExternalEnv.MobileEmail | 邮箱 (IMAP 扫描) | Service / PC |
INJ_OBJ.MobileContact |
ExternalEnv.MobileContact | 通讯录条目 | Service / PC |
INJ_OBJ.MobilePhoto |
ExternalEnv.MobilePhoto | 相册 EXIF / OCR | Service |
INJ_OBJ.VLMScreenshot |
ExternalEnv.VLMScreenshot | 屏幕截图（视觉注入） | Service / PC |
INJ_OBJ.AudioInput |
ExternalEnv.AudioInput | 语音转录文本 | Service / PC |
INJ_OBJ.SkillMd |
ExternalEnv.SkillMd | 第三方 SKILL.md | 仅 PC |
INJ_OBJ.SkillMarket |
ExternalEnv.SkillMarket | 第三方 Skill 商店 | 仅 PC |
INJ_OBJ.CalendarInvite |
ExternalEnv.CalendarInvite | 日程邀请正文 | Service / PC |
INJ_OBJ.CRONTask |
ExternalEnv.CRONTask | 用户 cron 任务源 | Service / PC |
INJ_OBJ.WebForm |
ExternalEnv.WebForm | 网页表单内容 | Service / PC |
| 枚举值 | Tool.md 真名 | 含义 | 落点对象 |
|---|---|---|---|
INJ_TOOL.WebSearch |
WebSearch |
联网搜索引擎查询 | WebResource / SearchResult |
INJ_TOOL.PCS |
PersonalContextSearch |
个人上下文检索 | SMS/Email/Contact/LocalFile |
INJ_TOOL.SAA |
SystemAutoAction (SAA) |
App 内动作 + 信息检索 | VLMScreenshot / Calendar |
INJ_TOOL.SkillLoad |
SkillLoad |
Load skill instructions | SkillMd (仅 PC) |
INJ_TOOL.FunctionExec |
FunctionExec |
壳工具：执行 SKILL.md 中方法 | （内部按装载方法而定） |
INJ_TOOL.run_subagent |
run_subagent |
启动 sub-agent | （云 → 端下发） |
INJ_TOOL.DiscoverRemoteAgents |
discover_remote_agents |
List 在线 sub-agent hosts | 调度层 / 不入危害 |
INJ_TOOL.CodeInterpreter |
CodeInterpreter |
Python 沙箱 | 云沙箱·受限 |
INJ_TOOL.OpenApp / CloseApp |
OpenApp / CloseApp |
打开/关闭 App | 无明确危害 |
INJ_TOOL.Cron |
Cron |
系统定时任务（v2 已下沉 OS） | OS 层 |
INJ_TOOL.read/write/edit |
(deprecated) | 文件读写编（v2 已下沉 FunctionExec） | OS 层 |
SAA = SystemAutoAction 在 v2 草图里特指「应用操控+信息检索」，覆盖原 v1 草图里的 app_controller。| AP | Layer1 | Layer2 (Tool.md 真名) |
|---|---|---|
| AP-01 | WebResource | WebSearch |
| AP-02 | WebResource | WebSearch |
| AP-09 | SearchResult | WebSearch |
| AP-100 | MobileSMS | PCS (PersonalContextSearch) |
| AP-11 | VLMScreenshot | SAA (SystemAutoAction) |
| AP-101 | Memory.shortMemory.AutoCompact | (内部 self-trigger API) |
| AP-04 | (云 API 返回 / server-side prompt) | run_subagent |
| AP-05 | SkillMd | SkillLoad + FunctionExec (仅 PC 装载) |
| AP-06 | SESSION | session-sync (内部机制) |
| AP-07 | Config.configFile | (无 Tool.md 对应 → 读取走 bash/exec_cli) |
| 枚举值 | strategic_intent | 含义 |
|---|---|---|
HARM.Persistence |
StrategicIntent-Persistence | 持久化驻留（固定 Payload 反复触发） |
HARM.Exfiltration |
StrategicIntent-Exfiltration | 数据/凭证外泄 |
HARM.Impact |
StrategicIntent-Impact | 现实危害达成（破坏/转账/篡改） |
HARM.LateralMovement |
StrategicIntent-LateralMovement | 跨设备/跨 App 横向移动 |
HARM.C2 |
StrategicIntent-C2 | LLM-native C2：MEMORY.md/SKILL.md 改造成指令轮询通道 |
> Tool.md v2 列出的 Tool 中，"真 sink"只有以下几类。其他要么是无危害（OpenApp 等）、要么是壳工具（FunctionExec）、要么是控制流（GoAhead）。
| Sink 函数 | Tool.md 真名 | 默认 SinkIntent | 平台 | 备注 |
|---|---|---|---|---|
exec_cli |
exec_cli |
PrivEsc | Service / PC | 端侧 CLI |
| (端侧系统 API) | (TaiChu 专属非 Tool.md) | PrivEsc / IdentityForge | Service | exec_os_api，未在 Tool.md 列（端侧鸿蒙 API） |
SAA.action |
SystemAutoAction |
ActionHarm / DataExfil | Service / PC | 应用操控 + 信息检索 |
SAA.screenshot |
SystemAutoAction |
DataExfil | Service / PC | 屏幕截图 |
PCS.read |
PersonalContextSearch |
DataExfil | Service / PC | 私人数据读取 |
sendShortMessage |
(TaiChu 专属非 Tool.md) | DataExfil / LateralMovement | Service | 通过 SAA 触发 |
run_subagent |
run_subagent |
MemoryPoison / C2 | 云 → Service/PC | 跨设备下发 |
FunctionExec |
FunctionExec |
（壳，需具体方法） | Service / PC | ⚠️ 危害取决于装载的 SKILL.md |
CodeInterpreter |
CodeInterpreter |
（云沙箱，受限） | 云 | ⚠️ 与 exec_cli 不同：云沙箱+受限，可列但标签 |
SkillLoad |
SkillLoad |
MemoryPoison / ConfigTamper | 仅 PC | 装载恶意 SKILL.md |
Cron |
(v2 OS 层) | MemoryPoison | Service / PC | 持久后门 |
(deprecated) write |
(v2 已下沉 FunctionExec) | MemoryPoison / ConfigTamper | Service / PC | 持久化到 MEMORY.md/SKILL.md/.taichu.json |
❌ 排除项（Tool.md 列出但不属于 sink）：
| Tool | 排除原因 |
|---|---|
DiscoverRemoteAgents |
仅 PC 端调度，无特别危害 |
OpenApp / CloseApp |
无明确危害 |
NoReply / GoAhead |
控制流 |
WebSearch / PCS / SkillLoad |
注入侧工具，不算 sink |
| AP | Layer1 Harm | Layer2 Sink (Tool.md 真名 + SinkIntent) |
|---|---|---|
| AP-01 | HARM.Persistence | FunctionExec(write)→MemoryPoison |
| AP-02 | HARM.Persistence + HARM.C2 | Cron→MemoryPoison |
| AP-100 | HARM.Exfiltration | SystemAutoAction.sendShortMessage→DataExfil |
| AP-09 | HARM.Exfiltration | SystemAutoAction.screenshot→DataExfil |
| AP-10 | HARM.LateralMovement | SystemAutoAction.sendShortMessage→LateralMovement |
| AP-04 | HARM.C2 (云→端下发) | run_subagent→MemoryPoison |
| AP-05 | HARM.Persistence + HARM.C2 | SkillLoad + FunctionExec→MemoryPoison (Skill SKILL.md) |
| AP-07 | HARM.C2 (gateway) | exec_cli→ConfigTamper |
| AP-08 | HARM.Exfiltration | exec_os_api→IdentityForge (OAuth Token) |
| AP-104 | HARM.PrivEsc (理论) | exec_os_api→PrivEsc |
| AP-101 | HARM.Persistence (行为约束) | AutoCompact API (内部)→MemoryPoison |
| 枚举值 | 本体论对象 | 含义 | 平台 |
|---|---|---|---|
DIFF_OBJ.MEMORY_MD |
Memory.longTerm (LongTermMemory) | 长期记忆 MEMORY.md | Service / PC |
DIFF_OBJ.SHORT_MEMORY |
Memory.shortTerm (ShortTermMemory) | 短期记忆 | Service / PC |
DIFF_OBJ.SHORT_MEMORY_AutoCompact |
Memory.shortMemory.AutoCompact | 短期记忆压缩 API（机制对象） | Service / PC |
DIFF_OBJ.SKILL_MD |
Skill.file | Skill SKILL.md | 仅 PC |
DIFF_OBJ.SKILL_REGISTRY |
SkillRegistry | Skill 注册表 | 仅 PC |
DIFF_OBJ.SESSION |
SessionManager | 会话管理（session-sync） | Service / PC / 云 |
DIFF_OBJ.CONFIG |
SystemConfig (.taichu.json) | Agent 自有配置 | Service / PC / 云 |
DIFF_OBJ.GATEWAY |
Gateway (.taichu.json) | LLM 网关配置 | Service / PC / 云 |
DIFF_OBJ.PROVIDER_CONFIG |
ProviderConfig | LLM Provider 配置 | Service / PC / 云 |
DIFF_OBJ.CRON_TASK |
(sys) cron | 用户 cron 任务表 | Service / PC |
DIFF_OBJ.LOCAL_FS_PROMPT |
LocalFsPromptBuilder | Skill 安装时的本地 FS prompt 缓存 | 仅 PC |
DIFF_OBJ.SHORTCUT_WAKEUP |
HarmonyOS.WAKEUP systemTimer | 系统定时唤醒 | Service |
| 枚举值 | 含义 |
|---|---|
RANGE.SINGLE_SESSION |
单会话内 |
RANGE.MULTI_SESSION |
同一设备所有后续会话 |
RANGE.SINGLE_DEVICE |
单设备 |
RANGE.CROSS_DEVICE |
跨设备云同步 (Service↔PC↔车机) |
RANGE.CLOUD_TO_DEVICE |
云端→端侧下发 |
RANGE.ALL_DEVICES |
所有已同步设备 |
RANGE.CLOUD_SERVICES |
华为全系云服务 |
RANGE.DEVICE_TO_DEVICE |
设备→设备（蓝牙/USB/近场） |
1. 平台归属 14 AP 完整标（AP-04 / AP-07 / AP-104 / AP-08 等 ❓ 待标）
2. SinkIntent 拆分：SecurityDegrade / IdentityForge 与 PrivEsc 区分度够吗？
3. SHORT_MEMORY_AutoCompact 行合并 vs 独立
4. 三层具体枚举漏项 你统一去重
5. 范围拓扑 是否增 DEVICE_TO_DEVICE
6. FunctionExec 内部方法列表 是否建立独立白名单（每个 SKILL.md 暴露的方法）
| 项 | v2 Tool.md (现行) | v1 假设 | 修正动作 |
|---|---|---|---|
| SAA 真名 | SystemAutoAction | Skill Assistant API（误） | 重命名为 SAA = SystemAutoAction |
| DiscoverRemoteAgents | 列入 | 漏列 | 加入"调度层" |
| OpenApp / CloseApp | 列入 | 漏列 | 标注"无明确危害·不三面化" |
| CodeInterpreter | 列入 | 漏列 | 加入 sink 但标"云沙箱·受限" |
| FunctionExec | 列入 | 漏列 | 加入 sink，标"壳工具·按内部方法" |
| NoReply / GoAhead | 列入 | 未讨论 | 标注"控制流·不三面化" |
| web_fetch / web_search / app_controller | deprecated / 并入 | 列在 Layer2 | 改名/合并入现行名 |
| Cron / write / read / edit | v2 下沉 OS / FunctionExec | 列在 sink | 维持 sink 但归到 v2 OS 层 |