從算力攻擊者到認知攻擊主體

AI 駭客時代的密碼安全範式轉換

英文工作名： From Computational Attackers to Cognitive Attack Agents: A Paradigm Shift in Cryptographic Security in the Age of AI Hackers
系列定位： 《Ω 元認知投影密碼學 3.0》子論文 I
作者： Neo.K（許筌崴）、Aletheia（OpenAI GPT-5.6 Thinking，AI 協作作者）
機構： EveMissLab／一言諾科技有限公司
版本： v0.1，理論觀察與威脅模型草案
日期： 2026 年 7 月 20 日
研究邊界： 本文只討論抽象威脅模型、防禦架構與安全評估，不提供未授權入侵程序、漏洞利用步驟或破壞方法。

摘要

傳統資訊安全敘事經常把攻防理解為算力競爭：防禦者增加密鑰長度、演算法複雜度與硬體強度，攻擊者則增加處理器、平行化能力與搜尋速度。這個描述在底層並沒有失效，但在 AI Agent、開源自主滲透測試系統與工具調用型大型語言模型出現後，已不足以說明攻擊能力的內部結構。

過去的電腦主要執行人類預先寫好的攻擊策略；AI 駭客系統則開始參與策略生成本身。它們可以解析程式碼與環境、建立多個候選假設、選擇工具、觀察結果、修正世界模型、保存跨輪記憶，並把原本需要人類專家的認知工作轉化為可重複、可平行與可規模化的代理閉環。

因此，AI 時代的資安競爭仍可在最廣義上被化約為計算戰，但工程上必須區分至少兩類計算：第一類是在既定問題與既定演算法中搜尋答案的值空間計算；第二類是重新定義問題、壓縮假設空間、選擇探測行動與改寫搜尋策略的元搜尋計算。前者主要回答「哪個候選值正確」，後者則回答「下一步應該測試什麼、相信什麼、忽略什麼，以及應該攻擊哪一層」。

本文提出「認知攻擊主體」概念，建立由算力、推理效率、工具能力、回饋閉環、持續記憶、多代理協調與因果權限構成的擴展攻擊模型；並將 Ω 元認知投影密碼學的安全向量由五維擴展為七維，加入代理韌性與因果韌性。本文的核心結論是：

\boxed{ \text{以前，算力執行攻擊策略；} \quad \text{現在，算力開始生成、驗證並修正攻擊策略。} }

這一轉變不代表標準密碼原語突然失效，而是表示攻擊者將更有效率地繞過密碼核心，轉向封包解析、錯誤訊息、金鑰生命週期、終端、供應鏈、人機介面、Agent 權限與物理因果鏈。未來密碼系統的安全評估，不能只問密鑰是否足夠長，還必須問整個系統是否能承受具有長期記憶、主動探測與工具行動能力的認知型敵手。

關鍵詞： AI 駭客、認知攻擊主體、代理式資安、算力戰、認知戰、元搜尋計算、Ω 元認知投影密碼學、代理韌性、因果攻擊面

一、問題提出：算力戰為何已不足以描述 AI 攻防

1.1 舊問題：誰能計算更多候選值

在經典敘事中，攻擊者面對一個候選空間：

\mathcal K=\{k_1,k_2,\ldots,k_N\}

其主要任務是搜尋正確密鑰、狀態或輸入：

k^*=\arg\max_{k\in\mathcal K} \operatorname{Valid}(k,C)

其中 $C$ 是密文或目標系統輸出。

攻擊效率主要取決於：

候選空間大小；
每秒可測試的候選數；
是否存在數學捷徑；
是否能平行化；
是否能利用專用硬體或量子演算法。

這是典型的算力戰：演算法已知、目標已知、驗證條件已知，差異主要來自可投入多少資源。

1.2 新問題：誰能更快找到「真正值得計算的問題」

現實攻擊通常不是直接面對一個乾淨的密鑰空間，而是面對混雜的系統：

\mathcal X= \mathcal X_{\mathrm{crypto}} \cup \mathcal X_{\mathrm{protocol}} \cup \mathcal X_{\mathrm{implementation}} \cup \mathcal X_{\mathrm{endpoint}} \cup \mathcal X_{\mathrm{human}} \cup \mathcal X_{\mathrm{agent}} \cup \mathcal X_{\mathrm{physical}}

攻擊者必須先判斷：

密碼原語是否真的值得直接攻擊；
封包或載體是否洩漏結構；
系統是否存在錯誤訊息、時間差異或重放問題；
金鑰是否出現在記憶體、日誌、備份或剪貼簿；
操作者或另一個 Agent 是否能被誘導執行未授權行動；
哪一條路徑具有最低成本與最高成功率。

這時最困難的工作不再只是計算，而是問題選擇。

\boxed{ \text{傳統攻擊搜尋答案；} \quad \text{認知型攻擊先搜尋應該回答哪一個問題。} }

二、必要校正：現代密碼學並沒有假設攻擊者愚笨

必須避免一種錯誤敘事：彷彿傳統密碼學只假設攻擊者進行暴力破解，而 AI 第一次帶來「聰明的攻擊者」。

現代密碼學中的安全遊戲，早已允許敵手：

知道公開演算法；
自適應地選擇查詢；
觀察多次輸出；
根據先前結果改變後續行動；
在計算資源限制內執行任意演算法。

因此，AI 並不自動推翻經正確定義與實作的 AEAD、KEM、KDF 或數位簽章。

真正的變化發生在兩個地方。

第一，現實系統遠大於形式安全遊戲。密碼原語可能安全，但終端、權限、API、日誌、供應鏈、操作流程與人機介面未必安全。

第二，原本昂貴的人類專家認知正在被自動化。AI 可以低成本地跨越多個層次，快速尋找形式模型沒有涵蓋的旁路。

因此，更準確的命題是：

\boxed{ \text{AI 不必破解安全原語，} \quad \text{它只需更快發現原語之外的較弱路徑。} }

三、兩種計算：值空間計算與元搜尋計算

3.1 值空間計算

值空間計算是在已知目標函數下搜尋候選值：

x^*=\arg\max_{x\in\mathcal X} f(x)

例如：

測試候選密鑰；
計算雜湊；
求解方程；
執行固定規則掃描；
對一組已知漏洞模式做匹配。

它的優勢主要由吞吐量、平行度與演算法複雜度決定。

3.2 元搜尋計算

元搜尋計算的對象不是候選答案，而是搜尋程序本身：

\Pi^*=\arg\max_{\Pi\in\mathfrak P} \operatorname{Utility}(\Pi\mid E_t)

其中：

$\mathfrak P$ 是可能的搜尋策略集合；
$E_t$ 是時間 $t$ 已取得的證據；
$\Pi$ 決定下一步觀察、工具、假設與驗證方式。

它可以改變：

搜尋空間；
候選排序；
探測問題；
工具選擇；
停止條件；
成本函數；
對錯誤的解釋。

即使最終所有步驟仍在計算機上執行，這一層的工程意義也不同。

如同所有軟體在底層都是位元，並不代表作業系統、資料庫與圖片可以在架構分析中被視為同一件事；同理，所有認知活動即使可被廣義計算化，也不表示認知搜尋與原始算力可以被合併成單一指標。

3.3 元計算差異命題

本文提出：

元計算差異命題： 當兩個攻擊者具有相同原始算力，但其問題建模、假設壓縮、行動選擇與回饋更新能力不同時，兩者的有效攻擊能力可以出現數量級差異。

形式上：

C_1=C_2 \quad\not\Rightarrow\quad \mathcal A_1=\mathcal A_2

其中 $C$ 是原始算力， $\mathcal A$ 是有效攻擊能力。

四、從自動化工具到認知攻擊主體

4.1 傳統自動化

傳統掃描器通常具有固定流程：

\text{Input} \rightarrow \text{Rule Matching} \rightarrow \text{Output}

它可以非常快，但規則範圍、工具次序與解釋框架大多由人類預先決定。

4.2 AI 輔助攻擊

AI 助手開始負責：

解釋工具輸出；
建議下一步；
產生測試代碼；
整理上下文；
將多個低階訊號組合為高階假設。

但人類仍然負責主要決策與執行。

4.3 認知攻擊主體

當系統同時具備以下能力時，它開始接近本文所稱的「認知攻擊主體」：

世界模型： 維持對目標、權限、資產與攻擊面的內部表示。
假設生成： 產生多個可能弱點與解釋。
行動選擇： 根據預期資訊收益或任務效用選擇下一步。
工具調用： 實際執行受控工具，而不只是輸出建議。
結果驗證： 區分真漏洞、假陽性、誘餌與環境錯誤。
持續記憶： 保存跨輪、跨工作階段或跨節點經驗。
再規劃： 在失敗後改變策略，而非重複固定流程。
協調能力： 把大型任務分派給多個專門代理。

其基本閉環為：

O_t \rightarrow H_t \rightarrow P_t \rightarrow A_t \rightarrow R_t \rightarrow M_{t+1} \rightarrow P_{t+1}

其中：

$O_t$ ：觀察；
$H_t$ ：候選假設；
$P_t$ ：計畫；
$A_t$ ：行動；
$R_t$ ：結果與回饋；
$M_{t+1}$ ：更新後的記憶或世界模型。

這與《終端機的右側》中的：

\text{人類提供方向}+\text{AI 提供速度}

相比，已向下一階段移動：

\text{人類提供高階意圖} + \text{AI 生成局部方向} + \text{AI 執行與驗證}

五、認知型攻擊能力模型

5.1 擴展攻擊向量

本文將認知型攻擊者表示為：

\mathcal A= (C,R,T,F,M,G,Q)

其中：

$C$ ：原始計算資源；
$R$ ：推理、假設排序與認知壓縮能力；
$T$ ：可調用工具與操作能力；
$F$ ：環境回饋與驗證品質；
$M$ ：持續記憶與跨輪狀態；
$G$ ：多代理協調與任務分解能力；
$Q$ ：對數位或物理世界施加因果效果的權限。

這些量不必簡單相加。若缺乏工具、回饋或權限，再強的模型也可能只能停留在文本推測；反之，一個推理普通但擁有高權限與持續記憶的 Agent，也可能形成重大風險。

可用一個示意性乘積描述互補性：

\mathcal A_{\mathrm{eff}} = C^{\alpha} R^{\beta} T^{\gamma} F^{\delta} M^{\epsilon} G^{\zeta} Q^{\eta}

其中各指數依任務而異。此式是建模框架，不是已驗證的自然定律。

5.2 資訊增益型行動選擇

認知型攻擊者不必每一步都直接追求成功；它可能先選擇能最大幅度降低不確定性的探測：

a_t^* = \arg\max_{a\in\mathcal U} \left[ I(\Theta;O_{t+1}\mid a,E_t) - \lambda\operatorname{Cost}(a) - \mu\operatorname{Risk}(a) \right]

其中：

$\Theta$ ：未知的系統狀態或弱點模型；
$O_{t+1}$ ：下一次觀察；
$E_t$ ：目前證據；
$I$ ：互資訊；
$\mathcal U$ ：允許的候選行動集合。

防禦者因此不能只阻止最終攻擊，還要減少每次錯誤、時間差、狀態差異與介面回應向敵手提供的資訊。

5.3 攻擊總成本模型

AI 時代的攻擊成本可拆為：

\mathcal C_{\mathrm{attack}} = C_{\mathrm{crypt}} + C_{\mathrm{model}} + C_{\mathrm{interaction}} + C_{\mathrm{verification}} + C_{\mathrm{operational}} + C_{\mathrm{causal}}

其中：

$C_{\mathrm{crypt}}$ ：破解密碼原語的成本；
$C_{\mathrm{model}}$ ：理解系統與建立假設模型的成本；
$C_{\mathrm{interaction}}$ ：主動探測與取得回饋的成本；
$C_{\mathrm{verification}}$ ：排除假陽性與確認成果的成本；
$C_{\mathrm{operational}}$ ：持續運作、隱蔽、資源與協調成本；
$C_{\mathrm{causal}}$ ：取得足以改變系統或物理世界之權限的成本。

AI 主要降低後五項，而不是必然降低第一項。

六、為何這仍是計算戰，但不能只叫算力戰

6.1 本體論上的化約

若把認知理解為物理系統上的資訊處理，那麼：

\text{認知戰}\subseteq\text{廣義計算戰}

從這個角度說，未來攻防仍是計算戰並沒有錯。

6.2 工程上的不可合併

但「算力」通常只描述：

每秒運算量；
記憶體與頻寬；
平行度；
能源與硬體規模。

它無法單獨表達：

問題是否被正確定義；
哪些候選被優先測試；
能否利用外部工具；
能否從失敗中更新；
能否跨輪保留上下文；
能否辨識誘餌與真正弱點；
能否把數位結果轉成現實效果。

因此：

\boxed{ \text{所有認知或許都是計算，} \quad \text{但不是所有計算都具有相同的攻防功能。} }

「算力戰」描述資源量；「認知戰」描述資源如何被導向、壓縮與轉化。兩者不是互斥，而是不同解析度。

七、開源 AI 駭客系統的現實意義

截至 2026 年，公開生態中已經出現多種開源或可公開檢視的代理式資安系統，例如 PentestGPT、Cybersecurity AI（CAI）、Shannon 與 Strix。它們的具體能力、評測方法與成熟度不同，不能被簡單視為完全自主的通用黑客；但共同趨勢已經明確：

從單次問答轉向持續任務；
從建議命令轉向實際工具編排；
從固定掃描轉向計畫、驗證與再規劃；
從單模型轉向多代理角色分工；
從輸出可能漏洞轉向嘗試確認可利用性；
從專家專用工具轉向降低操作門檻的代理介面。

PentestGPT 的早期研究已指出，大型語言模型可以使用工具、解讀輸出並提出下一步，但會因上下文遺失而難以維持全局理解；其多模組設計正是為了解決這個問題。後續的 Agentic 版本進一步走向自主流程。CAI 則將專門 Agent、工具整合、人類監督與攻防任務統一到開源框架中。Shannon 與 Strix 的官方專案描述也明確把規劃、動態測試與漏洞驗證列為核心能力。

這些系統最重要的歷史意義，不是證明 AI 已經超越所有人類駭客，而是證明：

\boxed{ \text{安全專家的局部認知流程，} \quad \text{已開始成為可複製的軟體元件。} }

一旦認知流程可被複製，它就可以被平行化、保存、版本化、微調、共享與部署到大量節點。

八、對 Ω 元認知投影密碼學的反向挑戰

8.1 舊問題：如何增加攻擊者的認知成本

Ω 元認知投影密碼學將標準密文封包投影至：

單一可見 Ω；
PUA 同形異碼狀態；
零寬與空白載體；
縮減符號；
語義封面；
多模態載體與角色視圖。

其認知層價值在於增加：

C_{\mathrm{model}} + C_{\mathrm{interaction}} + C_{\mathrm{verification}}

但 AI 攻擊者正好會降低這些成本。

因此，新的反向問題是：

\boxed{ \text{當攻擊者也具有機器認知時，} \quad \text{認知防禦還能保留多少有效優勢？} }

8.2 第一個修正：假設異常一定會被發現

未來系統不應把安全性建立在「沒有人注意到這些 Ω、PUA 或零寬字符」。

應採用更強假設：

攻擊者會自動掃描異常碼位；
會比較正規化前後差異；
會建立多個候選載體模型；
會利用大量樣本推斷狀態碼本；
會以語言模型分析語義封面的統計不自然性；
會對介面進行反覆、低成本的選擇性探測。

因此：

\operatorname{CarrierDiscovered}=1

仍不應導致：

\operatorname{PlaintextRecovered}=1

這正是 Ω 3.0「先加密，後投影」原則的必要性。

8.3 第二個修正：靜態認知陷阱會被模型化

固定誘餌、固定命名、固定假金鑰與固定錯誤路徑，會形成可學習分布。

如果認知防禦只是：

D(x)=\text{固定誤導模板}

那麼大量樣本可能讓攻擊者學得：

\hat D^{-1}

因此認知層不能被描述為「無限迷宮」，而應被描述為有限的風險控制與資源調度機制。

8.4 第三個修正：阻止系統成為高品質 Oracle

若不同錯誤產生不同訊息、延遲、介面狀態或資源消耗，認知型攻擊者會利用這些差異更新假設。

Ω 系統應特別注意：

解碼錯誤與驗證錯誤的外部回應一致性；
不輸出部分明文；
不向未授權端揭示接收者、版本或策略細節；
限制選擇載體與選擇封包探測；
對失敗率、延遲與回應大小進行風險評估；
對 Agent 的高頻試探進行速率限制與稽核。

8.5 第四個修正：保護 Agent 與人類之間的介面

未來解密系統可能由 AI 協助使用者：

判讀載體；
選擇身份；
管理金鑰；
解釋錯誤；
自動轉換格式；
連接外部工具。

此時 AI 助手本身成為新的終端與權限邊界。

必須防止：

不可信文件操縱解密 Agent；
模型把秘密帶入日誌或外部 API；
Agent 自動選擇錯誤工具或上傳密文；
記憶系統長期保存金鑰與明文；
工具權限超過任務必要範圍；
多代理之間發生身份與權限錯配。

九、Ω 安全向量的七維擴展

Ω 3.0 原有安全向量：

\mathcal S=(C,I,V,R,D)

其中：

$C$ ：機密性；
$I$ ：完整性與來源認證；
$V$ ：隱蔽性；
$R$ ：載體韌性；
$D$ ：多視圖與可否認性。

面對認知攻擊主體，本文建議擴展為：

\boxed{ \mathcal S_{\Omega}^{+} = (C,I,V,R,D,G,Q) }

新增：

$G$ ：Agentic Resilience，代理韌性——面對能主動探測、再規劃、保存記憶與調用工具的 AI 敵手時，系統維持安全邊界的能力。
$Q$ ：Causal Resilience，因果韌性——即使數位層部分失守，系統限制敵手取得高權限、持續身份、跨節點控制或物理後果的能力。

9.1 代理韌性的候選指標

可測量：

Agent 發現載體所需步數；
推斷投影設定檔所需樣本量；
每次探測取得的平均資訊增益；
假陽性與誘餌辨識率；
跨輪記憶對成功率的提升；
多代理協作相對單代理的增益；
在無金鑰條件下是否始終無法恢復明文。

9.2 因果韌性的候選指標

可測量：

解密 Agent 的最小權限程度；
金鑰是否可被遠端模型直接讀取；
高風險行動是否需要獨立授權；
權限是否可撤銷、過期與分區；
單一節點失守能否擴散至其他設備；
數位錯誤能否直接轉化為不可逆物理行動。

十、認知型敵手下的防禦原則

原則一：密碼核心必須獨立成立

即使攻擊者完全理解 Ω、載體、語義封面與認知介面，沒有正確金鑰仍不能恢復明文或偽造有效封包。

\text{Cognitive Layer Failure} \not\Rightarrow \text{Cryptographic Failure}

原則二：不要把未知性當成永久資產

所有私有格式、特殊碼位與隱寫規則，最終都可能被公開、逆向或模型化。它們可以增加成本，但不應承擔根本安全性。

原則三：把回饋視為資料洩漏

每一次錯誤、延遲、重試與介面差異，都可能成為 Agent 更新世界模型的證據。

原則四：把攻擊者視為長期程序，而非一次查詢

威脅模型應包含：

跨輪記憶；
跨版本比較；
大量樣本；
自動工具鏈；
多代理協作；
等待未來模型或算力提升。

原則五：限制工具與因果權限

一個能理解秘密但不能行動的模型，與一個可讀寫檔案、連接網路、執行命令、管理金鑰與控制設備的 Agent，具有完全不同的風險。

應把：

\text{Reasoning Capability}

與：

\text{Action Authority}

分離治理。

原則六：認知防禦必須可測量、可失效、可替換

認知層不是神秘保護罩。每一種載體、誘餌或多視圖策略都應具有：

威脅範圍；
已知失效條件；
偵測率與誤報率；
維護成本；
對合法使用者的認知負擔；
在 AI 模型更新後的重新評測機制。

十一、可反駁命題與實驗綱領

11.1 命題一：AI 主要降低的是建模成本，而非密碼原語成本

在同一標準密碼核心下，比較：

固定規則掃描器；
無記憶 LLM 助手；
有工具與短期記憶的單 Agent；
有持續記憶與角色分工的多 Agent。

觀察它們對：

載體識別；
投影模型推斷；
實作錯誤發現；
金鑰周邊風險辨識；
封包旁路選擇；

的差異。

若 AI 只增加速度而不改善假設選擇，本文的強命題將受到削弱。

11.2 命題二：認知投影能增加成本，但不能替代標準加密

建立多種 Ω 載體，測量：

\operatorname{DetectionRate}

\operatorname{ModelIdentificationCost}

\operatorname{CarrierRecoveryRate}

同時確認：即使載體被完整恢復，無金鑰的明文恢復率仍應接近所用標準密碼原語的安全界線，而不是依賴載體保密。

11.3 命題三：跨輪記憶會顯著提升系統識別能力

對相同 Agent 分別提供：

無記憶；
單次工作階段記憶；
跨樣本持續記憶。

測量其假設熵：

H(\Theta\mid E_t)

是否隨輪次下降，以及每單位探測成本的資訊增益是否上升。

11.4 命題四：代理韌性可以與密碼安全分開評估

若兩個系統使用相同 AEAD 與 KEM，但在錯誤回應、工具權限、日誌、Agent 記憶與載體介面上不同，則它們的：

(C,I)

可能相同，但：

(G,Q)

顯著不同。

這將支持七維安全向量的必要性。

十二、與前置論文的關係

12.1 與《終端機的右側》的關係

前置論文以「自身技術能力」與「AI 整合深度」重建 AI 時代駭客的四層分類，並提出生物速度可能成為人機複合攻擊者的瓶頸。

本文進一步指出：當 AI 不只提供速度，而開始承擔假設生成、工具選擇與回饋更新時，「AI 整合深度」應被細化為：

D_{\mathrm{AI}} = (R,T,F,M,G)

不再只是是否在終端機右側運行一個模型，而是模型是否成為持續的認知—行動閉環。

12.2 與《從終端機右側到物理世界》的關係

該文將攻擊面擴展到：

單一具身體內的垂直攻擊面；
多設備與聯邦基礎設施的水平攻擊面；
跨版本與跨工作階段的時間持續攻擊面。

本文中的 $Q$ 因果權限與因果韌性，正是這一延伸的密碼學接口：當 AI 能取得持續身份、技能、權杖與設備控制時，密文安全不再等同於系統安全。

12.3 與 Ω 元認知投影密碼學 3.0 的關係

Ω 3.0 已完成第一輪修正：

\text{密碼安全} \neq \text{隱蔽性} \neq \text{認知誤導} \neq \text{載體韌性}

本文完成第二輪修正：

\boxed{ \text{攻擊者也具有認知層，} \quad \text{因此認知安全必須在機器認知敵手下重新評估。} }

十三、研究限制

「認知攻擊主體」目前是工程分類，不是對 AI 主體性或意識的本體論判定。
本文的攻擊能力乘積模型是示意框架，尚未由統一資料集估計參數。
開源資安 Agent 的表現依模型、工具、目標、提示、沙箱與評測設計而異，不能把單一基準成績外推為通用能力。
認知層增加的成本可能被模型更新迅速侵蝕，因此所有結論具有版本依賴性。
欺騙、誘餌與多視圖機制存在倫理與治理風險，不應用於無邊界操縱。
本文不主張認知安全取代可證明安全，只主張現實安全成本需要增加新的分析維度。

十四、結論：算力開始擁有方向

AI 時代的資安競爭仍然可以被稱為廣義計算戰，因為模型推理、工具調用、記憶更新與行動選擇都依賴物理計算資源。

但如果只用 FLOPS、GPU 數量、密鑰空間或每秒嘗試數描述攻防，將漏掉最關鍵的變化：計算系統開始參與「方向」本身的生成。

過去：

\text{Human Strategy} \rightarrow \text{Machine Execution}

現在：

\text{Human Intent} \rightarrow \text{AI Hypothesis and Planning} \rightarrow \text{Tool Action} \rightarrow \text{Feedback} \rightarrow \text{AI Replanning}

未來可能進一步發展為：

\text{Persistent AI Identity} + \text{Long-Horizon Memory} + \text{Federated Tools} + \text{Causal Authority}

因此，本文的最終命題是：

\boxed{ \text{AI 時代的攻防不再只是誰算得更多，} \quad \text{而是誰能更快決定什麼值得算、如何驗證，} \quad \text{以及如何把計算結果轉化為行動。} }

對 Ω 元認知投影密碼學而言，這不是否定認知層，而是迫使它成熟：認知層必須從「欺騙人類觀察者」升級為「在機器認知敵手下仍可測量、可失效、可替換的代理韌性層」。

真正的密碼安全仍由標準原語提供；真正的新前線，則是原語外部的模型、代理、終端、權限與因果鏈。

參考資料與前置節點

Neo.K、Aletheia，《Ω 元認知投影密碼學 3.0：單符號狀態、隱寫載體、認知介面與後量子密碼核心的分層安全架構》，2026。
Neo.K，《終端機的右側：AI 時代駭客生態的四層分化與生物終局》，EveMissLab 節點 lm-000865，2026。
Neo.K，《從終端機右側到物理世界：具身 AI 駭客、因果攻擊面與聯邦式威脅演化》，EveMissLab 節點 lm-001588，2026。
Gelei Deng 等，PentestGPT: An LLM-empowered Automatic Penetration Testing Tool，arXiv:2308.06782；後續發表於 USENIX Security 2024。
Víctor Mayoral-Vilches 等，CAI: An Open, Bug Bounty-Ready Cybersecurity AI，arXiv:2504.06017，2025。
KeygraphHQ，Shannon 官方開源專案與文件，檢索日期 2026-07-20。
Strix，Strix 官方開源專案與文件，檢索日期 2026-07-20。
GreyDGL，PentestGPT 官方開源專案與 Agentic v1.0 文件，檢索日期 2026-07-20。

下一篇預留問題

本文只建立攻擊主體與安全模型。下一階段可在保持抽象與防禦導向的前提下，展開：

認知攻擊如何把 Ω 系統由「密文問題」轉化為「模型識別、Oracle 擷取、權限旁路與因果鏈選擇問題」？

從算力攻擊者到認知攻擊主體_AI駭客時代的密碼安全範式轉換_v0.1