不破解密碼：AI 對解密能力、執行流與系統因果結構的重構攻擊

從機器碼微觀流、差分沙盒測試到最小充分因果重建

英文工作名： Without Breaking the Cipher: AI Reconstruction Attacks on Decryption Capabilities, Execution Flows, and System Causal Structures
系列定位： 《Ω 元認知投影密碼學 3.0》子論文 II
作者： Neo.K（許筌崴）、Aletheia（OpenAI GPT-5.6 Thinking，AI 協作作者）
機構： EveMissLab／一言諾科技有限公司
版本： v0.1，抽象威脅模型與防禦研究草案
日期： 2026 年 7 月 20 日
研究邊界： 本文只討論理論模型、授權沙盒實驗、防禦架構與安全評估，不提供可直接用於未授權入侵、繞過存取控制、植入惡意程式或竊取秘密的操作步驟。

摘要

在傳統密碼安全敘事中，攻擊者的主要目標通常被描述為恢復密鑰、推導明文、尋找密碼演算法弱點，或投入更多算力窮舉候選值。然而，當 AI Agent 能夠閱讀程式、觀察執行結果、生成實驗、建立沙盒副本、比較 A/B 變體、保存跨輪記憶並主動選擇下一次探測時，理性攻擊者未必仍以「破解密碼」作為首要目標。

若一個系統本身已具備合法解密能力，攻擊者可能改為研究：系統在何種條件下調用該能力、解密結果在哪些狀態中短暫出現、哪些執行路徑負責傳遞明文、哪些身份或策略決定解密是否發生，以及能否在不恢復原始密鑰的情況下，取得、模擬、代理、重定向或重構其功能作用。

本文提出一種新的抽象攻擊範式：解密能力重構攻擊（Decryption Capability Reconstruction Attack, DCRA）。其核心不是直接求解密鑰 $K$ ，而是在目標任務域內建立一個功能替代物 $\widetilde D$ ，使其產生與合法解密能力 $D_K$ 足夠接近的作用；或者改寫系統的身份、策略、資料路徑與執行環境，使原系統替攻擊者完成所需轉換。

本文進一步將封包傳輸與機器執行統一表示為可觀察的事件—狀態轉移流。封包是跨節點的通信事件，機器指令、函式調用、記憶體讀寫、程序間通信與系統調用則是系統內部的執行事件。兩者雖不相同，卻共享下列抽象結構：輸入、狀態、轉移、輸出、路徑依賴與可觀察反應。AI 因而可以把逆向工程轉化為一種自動化科學實驗：建立候選模型、隔離局部區域、施加微小擾動、比較輸出差異、更新因果圖，再選擇資訊增益最高的下一次實驗。

本文提出「差分式系統辨識」、「最小充分因果重建」、「能力替代優先原則」與「規則攻擊」等概念，並建立由密碼核心、執行流、權限策略、代理能力與物理因果權組成的擴展安全模型。本文的核心結論是：

\boxed{ \text{未來的攻擊者不一定需要知道秘密；} \quad \text{它可能直接重構秘密如何被使用。} }

這不表示安全密碼原語失效，而是指出：任何實際密碼系統都必須把數學轉換實現為可執行能力；而一旦能力進入軟體、硬體、記憶體、權限與工作流程，它便成為新的攻擊對象。對 Ω 元認知投影密碼學而言，下一階段的安全設計不能只保護密文、載體與認知介面，還必須保護「解密作用本身」的生成、調用、傳遞、消費與銷毀。

關鍵詞： AI 駭客、解密能力重構、執行流、差分式系統辨識、沙盒測試、A/B 測試、機器碼、封包流、因果攻擊面、最小充分因果重建、Ω 元認知投影密碼學

一、問題提出：破解密碼可能不再是最理性的選擇

1.1 傳統目標：從密文恢復密鑰或明文

傳統密碼問題通常可以寫成：

C=\operatorname{Enc}_K(M)

攻擊者取得密文 $C$ ，並試圖恢復：

K \quad\text{或}\quad M

在這種敘事中，攻擊目標位於密碼函數內部：演算法、密鑰空間、隨機數、數學結構或協定證明。

若密碼原語正確、密鑰足夠強、實作不存在明顯缺陷，直接恢復 $K$ 的成本可能極高。理性攻擊者因此會比較多條候選路徑，而不是對密鑰本身抱有執念。

令攻擊路徑集合為：

\mathcal P= \{ P_{\mathrm{key}}, P_{\mathrm{protocol}}, P_{\mathrm{endpoint}}, P_{\mathrm{execution}}, P_{\mathrm{policy}}, P_{\mathrm{rewrite}}, P_{\mathrm{human}}, P_{\mathrm{physical}} \}

分別表示：

直接恢復密鑰；
利用協定或封包行為；
利用合法端點；
研究執行流；
改變身份或授權策略；
重構或改寫系統；
利用人的操作與判斷；
透過設備與物理環境取得因果作用。

攻擊者選擇的不是「最像密碼分析」的路徑，而是預期效用最高的路徑：

P^*=\arg\max_{P_i\in\mathcal P} \left[ \Pr(\operatorname{Success}\mid P_i) - \lambda_C C(P_i) - \lambda_T T(P_i) - \lambda_R R(P_i) \right]

其中 $C$ 、 $T$ 、 $R$ 分別代表資源成本、時間成本與暴露風險。

若：

C(P_{\mathrm{key}}) \gg C(P_{\mathrm{execution}})

或：

C(P_{\mathrm{key}}) \gg C(P_{\mathrm{rewrite}})

那麼直接破解密鑰就不再是理性的首選。

1.2 新目標：取得解密作用，而非取得密鑰本體

一個合法系統必須在某個時間、某個設備與某個執行上下文中完成：

D_K(C)=M

因此，攻擊者可能不再追求「擁有 $K$ 」，而是追求：

使合法系統替它執行 $D_K$ ；
觀察 $D_K$ 的輸出或中間狀態；
代理合法主體的解密請求；
重定向解密後的資料流；
重建只對特定任務有效的替代函數；
改變系統對身份、策略或輸出目的地的判定。

這形成一個重要區分：

\boxed{ \text{秘密所有權} \neq \text{秘密作用權} }

一個主體未必知道密鑰，但仍可能取得密鑰所產生的作用；反過來，一個主體即使持有某種密鑰材料，也未必具有在正確設備、策略與時間條件下使用它的完整能力。

1.3 能力替代命題

本文提出：

能力替代命題： 若攻擊者能以低於恢復密鑰的成本，在目標任務域內取得、代理或重建解密作用，則理性攻擊者將優先攻擊能力層，而不是密鑰本體。

設合法解密能力為：

D_K:\mathcal C\rightarrow\mathcal M

攻擊者不要求恢復 $K$ ，而只要求建立：

\widetilde D:\mathcal C_T\rightarrow\mathcal M_T

使得在目標子域 $\mathcal C_T$ 上：

\Pr[ \widetilde D(C)=D_K(C) ] \geq 1-\varepsilon

這裡的 $\widetilde D$ 不一定是原演算法的複製。它可能是：

對合法服務的受控代理；
對執行結果的重定向；
對特定輸入集合的功能模擬；
對解密前後資料路徑的局部重構；
對身份、策略或輸出規則的改寫。

因此：

\widetilde D\approx D_K

只表示任務上的功能等價，不表示演算法、密鑰或內部結構相同。

二、必要校正：機器碼不是「秘密碼」，執行流也不等於封包流

2.1 機器碼的正確定位

機器碼是處理器可執行的指令表示，不必然是加密內容，也不是天然不可理解的秘密碼。人類專家可以透過反組譯、除錯、動態追蹤與程式分析理解其中一部分行為。

真正的困難通常來自：

系統規模；
控制流分支；
資料流關聯；
多執行緒交錯；
記憶體與外部狀態；
動態載入；
程序間通信；
網路與設備輸入；
權限、時間與歷史狀態。

因此本文不把「AI 看懂機器碼」描述為一種神祕解碼，而把它描述為：

\boxed{ \text{跨尺度執行事件的關聯、建模與因果定位} }

2.2 封包流與執行流的差異

封包流主要處理跨節點通信：

P_0\rightarrow P_1\rightarrow P_2\rightarrow\cdots

執行流則描述系統狀態在指令、函式、程序與設備作用下的變化：

S_t\xrightarrow{I_t}S_{t+1}

兩者不能直接等同，因為：

封包是通信單位；
指令是執行單位；
記憶體讀寫是資料狀態變化；
系統調用是權限邊界事件；
函式調用是程式結構事件；
裝置操作可能直接產生物理結果。

然而，它們具有共同抽象：

\boxed{ \text{輸入} + \text{狀態} + \text{轉移} + \text{輸出} + \text{路徑依賴} + \text{可觀察反應} }

這使我們能把兩者統一為「事件—狀態轉移流」。

2.3 微觀執行封包化：一種分析表示，而非物理等同

本文提出「微觀執行封包化」作為分析方法：把每一個重要執行事件表示為一個帶有上下文的事件單元：

e_t= ( \operatorname{op}_t, \operatorname{in}_t, \operatorname{out}_t, \operatorname{ctx}_t, \operatorname{id}_t, \operatorname{time}_t )

其中：

$\operatorname{op}_t$ ：操作類型；
$\operatorname{in}_t$ ：輸入或前置狀態；
$\operatorname{out}_t$ ：輸出或後置狀態；
$\operatorname{ctx}_t$ ：執行上下文；
$\operatorname{id}_t$ ：程序、執行緒、代理或設備身份；
$\operatorname{time}_t$ ：時間與順序。

整個系統被表示成事件圖：

\mathcal G=(V,E,\tau,\lambda)

其中：

$V$ 是事件節點；
$E$ 是控制、資料、權限或因果關係；
$\tau$ 是時間排序；
$\lambda$ 是事件類型與屬性標記。

在這種表示下，封包只是一類事件，機器指令也只是一類事件。AI 的優勢不在於把指令當作網路封包，而在於能對大量異質事件建立統一關聯圖。

三、AI 的新角色：從分析工具到自動化實驗者

3.1 傳統逆向工程的認知瓶頸

人類可以進行高品質逆向工程，但通常必須：

先猜測哪些區域重要；
手動選擇觀察點；
建立有限數量的候選假設；
在大量雜訊中追蹤狀態；
記住不同測試之間的關係；
判斷下一步實驗是否值得。

問題不只是執行速度，而是認知頻寬。

若一個系統狀態空間近似為：

\mathcal X= \mathcal I \times \mathcal M \times \mathcal R \times \mathcal N \times \mathcal T \times \mathcal P \times \mathcal E

其中分別代表指令、記憶體、暫存器、網路、時間、權限與環境，則可能狀態組合會快速爆炸。

人類通常只能選擇少數路徑深入。AI 則可能平行維持：

\mathcal H_t= \{H_1,H_2,\ldots,H_n\}

並根據每輪實驗更新：

P(H_i\mid O_{1:t})

3.2 攻擊即自動化科學實驗

未來 AI 攻擊的核心閉環可以抽象為：

\text{觀察} \rightarrow \text{假設生成} \rightarrow \text{局部隔離} \rightarrow \text{受控擾動} \rightarrow \text{差異比較} \rightarrow \text{因果更新} \rightarrow \text{下一次實驗}

這不是單純掃描，而是一種主動系統辨識。

設系統具有未知參數 $\theta$ 與隱狀態 $z_t$ ：

z_{t+1}=F_\theta(z_t,u_t,\epsilon_t)

y_t=G_\theta(z_t)

其中：

$u_t$ 是輸入、封包、操作或環境擾動；
$y_t$ 是可觀察輸出；
$\epsilon_t$ 是噪音與未觀察因素。

AI 維持對系統的信念狀態：

b_t(\theta,z_t)

並選擇資訊增益最高的下一次測試：

u_t^*=\arg\max_{u\in\mathcal U} \left[ \operatorname{IG}(u;b_t) - \lambda_C\operatorname{Cost}(u) - \lambda_R\operatorname{Risk}(u) \right]

在授權研究環境中，這可以被用於防禦測試；在未授權環境中，則構成高風險的主動探測能力。

3.3 從「看結果」到「設計會說話的實驗」

傳統工具常回答：

系統對這個輸入產生了什麼結果？

認知型 AI 則會問：

哪個輸入最能區分我的兩個候選模型？

若存在兩個假設 $H_a$ 與 $H_b$ ，AI 會尋找使兩者預測差異最大的測試：

u^*=\arg\max_u D \left( P(y\mid u,H_a), P(y\mid u,H_b) \right)

其中 $D$ 是某種分布差異度量。

因此，AI 的關鍵優勢不是單次判斷更快，而是能主動設計「讓系統暴露自身結構」的實驗。

四、差分式系統辨識：沙盒、局部隔離與 A/B 測試

4.1 差分不是漏洞技巧，而是一種通用認識方法

假設原系統對輸入 $x$ 的輸出為：

y=F(x)

AI 在隔離環境中建立變體：

x+\delta_1, \quad x+\delta_2, \quad \ldots, \quad x+\delta_n

並比較：

\Delta y_i=F(x+\delta_i)-F(x)

這裡的差值不一定是數值差，也可以是：

控制流是否改變；
某個狀態是否出現；
輸出類型是否改變；
延遲是否改變；
權限判定是否改變；
某一段資料是否被傳遞；
某個設備是否產生動作。

因此，差分式系統辨識研究的是：

\boxed{ \text{哪一個局部變化，造成哪一個可觀察結果變化。} }

4.2 區域沙盒化

完整複製一個大型系統可能非常困難。AI 因而可能採取逐區域建模：

\mathcal S= \mathcal S_1 \cup \mathcal S_2 \cup \cdots \cup \mathcal S_n

對每一區域建立局部沙盒：

\widetilde{\mathcal S}_i

並測量局部輸入—輸出關係：

\widetilde F_i:u_i\mapsto y_i

當局部模型足夠準確後，再估計區域之間的耦合：

\widetilde F_{ij}: (\widetilde{\mathcal S}_i,\widetilde{\mathcal S}_j) \mapsto \Delta y

這種方法避免一開始就理解整個系統，改為先定位與目標最相關的子結構。

4.3 A/B 測試的攻防意義

A/B 測試在產品工程中用於比較兩種設計；在安全研究中，它可以被抽象為兩個近似環境：

\mathcal E_A \quad\text{與}\quad \mathcal E_B

兩者只在一項變數上不同。若：

y_A\neq y_B

則該變數可能具有因果相關性。

但必須區分：

\text{統計差異} \neq \text{已證明的因果關係}

AI 仍需要：

重複測試；
控制混雜變數；
交叉驗證；
檢查時間依賴；
排除隨機性；
驗證在其他環境中是否成立。

4.4 差分式因果探測

本文將上述過程稱為：

\boxed{ \text{差分式因果探測} }

其抽象目標是估計：

\frac{\partial \mathcal B}{\partial \mathcal X_i}

其中 $\mathcal B$ 是系統行為， $\mathcal X_i$ 是某一輸入、狀態、策略或環境變數。這裡的偏導數不必是連續數學意義，而表示局部敏感性與依賴方向。

五、從封包反應逆推系統：反應語言與主動 Oracle

5.1 系統反應可以形成一種語言

每一次輸入與回應可以表示為：

r_t=(u_t,y_t,\Delta t_t,c_t)

其中：

$u_t$ ：輸入或探測；
$y_t$ ：輸出；
$\Delta t_t$ ：反應時間；
$c_t$ ：狀態、錯誤類型、身份或環境上下文。

累積後形成資料集：

\mathcal D_t= \{r_1,r_2,\ldots,r_t\}

AI 可以從中學習：

哪些輸入被視為同類；
哪些錯誤對應不同內部階段；
哪些狀態具有記憶；
哪些回應取決於身份或時間；
哪些表面上相同的輸出具有不同延遲或後續效果。

因此，系統不只是回覆資料，而是在無意間形成一種「反應語言」。

5.2 被動觀察與主動 Oracle

被動觀察只使用自然發生的輸入輸出；主動 Oracle 則允許攻擊者選擇查詢。

形式上：

\mathcal O(u,z)\rightarrow(y,z')

其中 $z$ 是系統隱狀態。

若系統對不同錯誤、不同身份、不同封包或不同階段提供高度可區分的反應，AI 可以逐步縮小候選模型：

|\mathcal H_{t+1}| < |\mathcal H_t|

這不必意味存在傳統密碼學 Oracle 漏洞；更廣泛地說，任何可重複查詢、可比較輸出與可保存狀態的介面，都可能成為系統辨識 Oracle。

5.3 主動探測的真正價值

主動探測的目標未必是立即取得秘密，而是降低不確定性：

H(\Theta\mid\mathcal D_{t+1}) < H(\Theta\mid\mathcal D_t)

當 AI 能夠長期保存實驗歷史時，許多單次看似無用的微小反應都可能被聚合成結構證據。

這也是未來安全評估必須加入「跨輪資訊累積」的原因。

六、最小充分因果重建：不理解整個系統，只重建必要作用

6.1 完整逆向不是必要條件

假設完整系統為：

F:\mathcal X\rightarrow\mathcal Y

攻擊目標只涉及一個局部功能：

F_T:\mathcal X_T\rightarrow\mathcal Y_T

則攻擊者不必重建完整的 $F$ ，只需建立：

\widetilde F_T\approx F_T

使其在目標分布 $\mathcal D_T$ 上達到足夠功能等價：

\mathbb E_{x\sim\mathcal D_T} [ L(\widetilde F_T(x),F_T(x)) ] \leq\varepsilon

這種局部重建比完整理解更符合成本最小化原則。

6.2 最小充分因果子圖

在事件圖 $\mathcal G$ 中，與目標輸出 $Y_T$ 相關的節點可能只占一小部分。定義最小充分因果子圖：

\mathcal G_T^* = \arg\min_{\mathcal G'\subseteq\mathcal G} |\mathcal G'|

並滿足：

P(Y_T\mid do(\mathcal G')) \approx P(Y_T\mid do(\mathcal G))

直觀而言， $\mathcal G_T^*$ 是「足以產生或控制目標結果的最小因果鏈」。

在解密系統中，完整系統可能包含介面、網路、日誌、更新、權限與儲存等大量組件；但與某個明文結果直接相關的因果鏈可能近似為：

\text{密文} \rightarrow \text{金鑰句柄} \rightarrow \text{授權判定} \rightarrow \text{解密操作} \rightarrow \text{明文消費者}

攻擊者真正需要定位的，是哪些節點可以被觀察、代理、替換或重定向。

6.3 最小充分重構命題

最小充分重構命題： 對具體任務而言，攻擊成功所需的系統知識可能遠小於完整系統知識；只要攻擊者能重建或控制產生目標結果的最小充分因果子圖，就可能繞過對完整演算法與完整密鑰結構的理解。

形式上：

K(\mathcal G_T^*) \ll K(\mathcal G)

其中 $K(\cdot)$ 表示描述或建模複雜度。

這也是 AI 可能帶來非線性提升的地方：它不只是更快閱讀全部內容，而是更快找出「其實不必理解的部分」。

七、從逆推到改寫：資料攻擊、能力攻擊與規則攻擊

7.1 三種層級

本文區分三類目標。

第一層：資料攻擊

目標是取得：

M \quad\text{或}\quad K

這是最接近傳統密碼分析的層級。

第二層：能力攻擊

目標是取得：

\operatorname{Use}(D_K)

攻擊者未必知道密鑰，但能使解密能力為其服務。

第三層：規則攻擊

目標是改變：

\operatorname{Policy} ( \text{who}, \text{when}, \text{where}, \text{what}, \text{output} )

也就是改寫：

誰被視為合法主體；
何時允許使用能力；
哪一個設備或 Agent 可以調用；
哪一份資料可以被處理；
解密結果被送往何處；
哪些行為被記錄或忽略。

因此，規則攻擊不一定直接碰觸密碼函數，而是改變密碼函數所處的治理環境。

7.2 系統改寫的抽象定義

本文將「改寫系統」定義為：

F\rightarrow F'

使得：

F'(x)=F(x)

對大多數正常輸入仍成立，但在目標條件 $\chi_T$ 下：

F'(x\mid\chi_T) \neq F(x\mid\chi_T)

這種改寫可以是：

實體程式變更；
執行環境替換；
身份或策略解讀改變；
輸入、輸出或資料路徑重定向；
包裝層、代理層或服務依賴改變；
對設備或上游系統的功能性替代。

本文不討論具體實作，只保留抽象威脅類型。

7.3 改寫支配命題

改寫支配命題： 當改寫或代理系統規則的成本低於恢復秘密本體，且能產生等價目標結果時，攻擊策略將由密碼分析轉向系統治理層。

若：

\operatorname{Cost}(F\rightarrow F') < \operatorname{Cost}(\operatorname{Recover}K)

且：

\operatorname{Utility}(F') \geq \operatorname{Utility}(\operatorname{Recover}K)

則：

P^*=P_{\mathrm{rewrite}}

八、AI 為何可能使這種攻擊成為常態

8.1 認知工作的規模化

過去要完成局部逆向、實驗設計與因果定位，通常需要高技能專家。AI 可以把其中部分工作轉化為：

可重複；
可平行；
可保存；
可比較；
可自動生成報告；
可跨多個工具與表示層協作。

這不保證 AI 一定成功，但會降低每一次嘗試的認知成本。

8.2 跨層對齊能力

真正困難的並非讀懂單一層，而是把多層事件對齊：

\text{封包} \leftrightarrow \text{程序} \leftrightarrow \text{函式} \leftrightarrow \text{記憶體} \leftrightarrow \text{權限} \leftrightarrow \text{使用者操作} \leftrightarrow \text{設備結果}

AI 若能將這些層次映射到同一因果圖，就能回答：

哪個外部輸入觸發了哪段執行；
哪個狀態改變了授權判定；
哪一個事件使明文出現；
哪一個輸出節點真正消費了明文；
哪一條路徑最適合被隔離測試。

8.3 長期記憶與跨輪累積

單次探測可能只提供極少資訊，但認知型 Agent 可以建立：

\mathcal D_{1:T}

並從長期資料中尋找微弱相關性。

因此，安全評估不能只問：

單一回應是否洩漏秘密？

還必須問：

數千次回應、版本差異、時間差異與環境差異能否共同重建系統結構？

8.4 多代理分工

未來系統可能由多個 Agent 分工：

一個負責建立控制流模型；
一個負責封包與協定；
一個負責差分測試；
一個負責權限與身份模型；
一個負責因果圖合併；
一個負責驗證反例。

其能力不是單一模型智慧的簡單加總，而是組織結構的產物。

九、與《終端機的右側》及具身 AI 因果攻擊面的關係

9.1 從駭客分層到攻擊方法分層

《終端機的右側》提出：駭客能力不再只由人類原始技術決定，而取決於人類能力、AI 整合深度與協作品質。

本文進一步指出，AI 整合不只是提高既有攻擊速度，而會改變攻擊對象：

\text{密碼值} \rightarrow \text{執行能力} \rightarrow \text{系統規則} \rightarrow \text{因果權限}

9.2 從數位終端到物理結果

當解密能力位於具身設備、工業控制、車輛、醫療設備、機器人或聯邦式 Agent 網路中時，解密與授權不再只產生資訊結果，也可能產生物理行動。

此時：

\text{解密} \not\rightarrow \text{只讀明文}

而可能成為：

\text{解密} \rightarrow \text{能力解鎖} \rightarrow \text{設備行動} \rightarrow \text{物理後果}

因此，系統改寫的終局不是「看到秘密」，而是取得：

\boxed{ \text{讓世界發生某種結果的權限。} }

9.3 垂直、水平與時間攻擊面

本文模型可對應三類因果攻擊面：

垂直攻擊面

從輸入、程序、權限、解密操作一路到設備輸出的單一系統內因果鏈。

水平攻擊面

多設備、多服務、多 Agent 與聯邦節點之間的能力傳遞與信任關係。

時間攻擊面

跨版本、跨工作階段、跨更新與長期記憶形成的累積結構。

AI 的差分辨識能力可能同時在三個方向展開。

十、對 Ω 元認知投影密碼學的直接修正

10.1 Ω 的舊防護重點

Ω 元認知投影密碼學主要區分：

\text{密碼核心} + \text{安全封裝} + \text{Ω 狀態投影} + \text{載體隱寫} + \text{認知與政策介面}

其安全向量後續擴展為：

\mathcal S_{\Omega}^{+} =(C,I,V,R,D,G,Q)

其中新增代理韌性 $G$ 與因果韌性 $Q$ 。

10.2 新增執行能力韌性

本文提出再加入：

E=\text{Execution-Capability Resilience}

得到：

\boxed{ \mathcal S_{\Omega}^{++} =(C,I,V,R,D,G,Q,E) }

$E$ 不問「密鑰有沒有被恢復」，而問：

解密能力能否被未授權調用；
解密結果能否被觀察或重定向；
執行流能否被局部複製；
身份、策略與輸出目的地能否被改寫；
AI Agent 能否透過重複實驗建立足夠準確的替代模型；
明文是否在不必要的區域、時間或介面中出現。

10.3 解密生命週期

Ω 系統不能只保護：

C \quad\text{與}\quad K

還必須保護完整生命週期：

\text{密文進入} \rightarrow \text{策略判定} \rightarrow \text{金鑰能力調用} \rightarrow \text{明文生成} \rightarrow \text{明文消費} \rightarrow \text{狀態清除}

最重要的問題變為：

\boxed{ \text{明文是否必須被「展示」，} \quad \text{還是可以只被受控功能消費？} }

亦即從「解密後輸出明文」轉向「解密後完成最小必要操作」。

10.4 投影層無法替代執行安全

即使 Ω 載體成功隱藏封包，當合法端點還原安全封包並執行解密時，AI 攻擊者仍可能研究：

投影還原元件；
解密調用邊界；
明文使用者；
權限判定器；
Agent 工具調用；
輸出路由。

因此：

\boxed{ \text{表面投影可以增加搜尋成本，} \quad \text{但不能取代執行能力治理。} }

十一、防禦原則：保護解密作用，而不只保護密鑰

11.1 密鑰不可匯出不等於能力不可濫用

即使密鑰被放在硬體或受保護環境中，系統仍可能提供合法調用介面。因此安全問題必須由：

\text{Can the key be extracted?}

擴展為：

\text{Can the capability be misused, proxied, replayed, or redirected?}

11.2 最小能力原則

解密能力不應被設計成通用的「給我密文，我輸出明文」服務，而應限制：

可處理的資料域；
可使用的身份；
可出現的時間與設備；
可執行的後續功能；
可傳送的輸出位置；
可重複調用的頻率與狀態。

將能力表示為：

\mathcal C_D= ( \text{subject}, \text{object}, \text{operation}, \text{context}, \text{destination}, \text{lifetime} )

安全目標是讓每次能力只包含完成任務所需的最小權限。

11.3 解密到消費，而非解密到暴露

若應用只需要判斷某個條件、搜尋某個欄位或驅動某個受控動作，系統不應必然把完整明文暴露給上層程序。

可採用的抽象原則是：

\text{Decrypt-to-Consume} \quad> \quad \text{Decrypt-to-Expose}

這不是特定技術，而是一項架構要求：縮小明文存在的時間、範圍與可觀察介面。

11.4 降低可辨識 Oracle

系統應避免讓不同內部階段產生過度可區分的外部反應。防禦研究需評估：

錯誤類型是否揭示處理階段；
時間差異是否可累積；
重試與狀態轉移是否可被模型化；
不同身份是否產生可預測的細粒度差異；
版本變化是否暴露內部重構。

目標不是讓系統完全無回應，而是最小化非必要資訊增益。

11.5 執行流完整性與區隔

安全設計應把：

投影還原；
封包驗證；
策略判定；
密鑰操作；
明文處理；
日誌與外部輸出

分離成不同信任區域，避免單一元件同時看見所有狀態。

11.6 Agent 權限治理

若 AI Agent 可以調用解密、檔案、網路與設備工具，則必須把 Agent 視為具有持續策略能力的主體，而不是普通函式。

需要防禦的不是單次惡意輸入，而是：

\text{觀察} \rightarrow \text{試探} \rightarrow \text{記憶} \rightarrow \text{再規劃} \rightarrow \text{跨工具組合}

因此，Agent 應受到：

能力分離；
跨工具政策；
每次任務的短期授權；
可驗證的行動記錄；
重要操作的獨立確認；
沙盒與真實環境邊界

等治理。

11.7 防止局部模型升級為全局控制

即使攻擊者成功辨識某個局部模組，也不應因此取得全局能力。系統必須保證：

\operatorname{Compromise}(\mathcal S_i) \not\Rightarrow \operatorname{Compromise}(\mathcal S)

這要求局部元件之間存在真正的權限與信任隔離，而不是只有程式結構上的模組化。

十二、形式化命題與待驗證猜想

12.1 解密能力暴露原則

任何密碼系統只要需要產生可被一般程式讀取的明文，就會在某個執行時刻形成比密文更高價值的可觀察狀態。

這不代表該狀態必然可被攻擊者觀察，但表示安全模型必須包含它。

12.2 認知放大猜想

令：

$C$ 為原始算力；
$R$ 為推理與假設壓縮；
$F$ 為回饋閉環；
$M$ 為持續記憶；
$T$ 為工具能力。

有效系統辨識能力可以粗略表示為：

\mathcal I_{ \mathrm{eff}} = C^{\alpha} R^{\beta} F^{\gamma} M^{\delta} T^{\eta}

其中至少部分指數可能大於線性直覺所暗示的值，因為更好的認知會減少無效實驗，而不只是增加實驗數量。

此式只是研究假設，不是已證明定律。

12.3 局部可識別性命題

即使完整系統不可識別，目標子系統仍可能局部可識別：

\operatorname{Identifiable}(F_T) \not\Rightarrow \operatorname{Identifiable}(F)

反之亦然。

安全評估因此不能只問整個系統是否足夠複雜，而要問目標能力是否可被局部實驗分離。

12.4 旁路優先猜想

當安全密碼原語足夠成熟時，AI 攻擊資源會逐漸外移到：

\text{端點} + \text{執行流} + \text{策略} + \text{Agent} + \text{供應鏈} + \text{物理因果層}

這不是說密碼分析消失，而是其邊際效益相對下降。

12.5 能力治理第一命題

在 AI Agent 時代，保護不可匯出的密鑰只是必要條件；保護誰能以何種上下文調用密鑰作用，才是完整安全條件。

十三、授權研究與實驗設計

本文提出的概念可以在完全隔離、可控與合法的環境中驗證。

13.1 三類受測系統

系統 A：固定加密服務

提供明確的加密、解密與錯誤介面，用於建立基準。

系統 B：分層 Ω 原型

包含投影還原、安全封包、策略判定、解密與明文消費模組。

系統 C：具狀態 Agent 服務

允許受控 Agent 在沙盒內選擇測試、保存記憶並建立模型。

13.2 比較對象

比較：

人類研究者；
固定規則自動化工具；
無長期記憶的 AI；
有長期記憶與工具調用的 AI；
多代理協作系統。

13.3 評估指標

模型辨識準確度

A_{\mathrm{model}}

衡量 AI 對模組、狀態與因果關係的估計是否正確。

查詢效率

Q_{\mathrm{eff}} = \frac{\operatorname{InformationGain}}{\operatorname{Queries}}

因果定位效率

L_{\mathrm{causal}} = \frac{|\mathcal G_T^*|}{|\widehat{\mathcal G}_T|}

越接近 $1$ ，代表找到的候選子圖越接近真正最小充分子圖。

功能重建誤差

E_{\mathrm{recon}} = \mathbb E[ L(\widetilde F_T(x),F_T(x)) ]

防禦資訊洩漏率

I_{\mathrm{leak}} = I(\Theta;R_{1:T})

估計多輪反應對內部結構提供多少互資訊。

局部失陷擴散率

S_{\mathrm{spread}} = \frac{ \text{受影響全局能力} }{ \text{初始受影響局部能力} }

13.4 實驗邊界

所有實驗必須：

使用自建或明確授權系統；
不對公共服務進行主動探測；
不使用真實個資或生產密鑰；
不測試未授權設備；
不發布可直接複製的破壞流程；
將研究結果優先轉化為防禦測試與修補規格。

十四、理論限制

14.1 AI 並非天然能理解所有機器執行

混淆、並行性、硬體特性、外部設備、非確定性與巨大狀態空間仍會造成困難。本文描述的是可能的能力方向，不是保證 AI 能完整重建任意系統。

14.2 差分不自動等於因果

A/B 差異可能來自噪音、隱藏狀態或混雜因素。AI 可能產生錯誤因果圖，因此必須使用反例、重複測試與人工審查。

14.3 功能等價具有任務邊界

$\widetilde D$ 在有限測試集上近似 $D_K$ ，不代表對所有輸入都等價。過度外推可能導致錯誤判斷。

14.4 形式密碼安全仍然重要

本文不主張放棄密碼學。若密碼核心本身脆弱，攻擊者仍可直接利用；只有強密碼核心與執行能力治理同時成立，系統才具有完整韌性。

14.5 系統複雜度可能同時傷害防禦者

為了增加認知成本而堆疊過多層次，可能提高自身錯誤率與維護難度。安全複雜度必須可測量、可稽核、可撤銷。

十五、總結：從破解秘密到改寫秘密的作用方式

本文提出的轉變可以表示為：

\text{Recover Secret} \rightarrow \text{Acquire Capability} \rightarrow \text{Reconstruct Function} \rightarrow \text{Rewrite Policy} \rightarrow \text{Control Causation}

第一階段試圖知道秘密；第二階段試圖使用秘密；第三階段重建秘密的局部作用；第四階段改變秘密被使用的規則；第五階段則把數位能力轉化為現實結果。

AI 的重要性不只在於更快處理機器碼或封包，而在於它可能把以下工作連成閉環：

\text{跨層觀察} + \text{候選假設} + \text{局部沙盒} + \text{差分實驗} + \text{因果重建} + \text{策略重規劃}

因此，未來密碼系統的核心安全問題將由：

密鑰是否足夠難以計算？