# 從終端機右側到物理世界 ## 具身 AI 駭客、因果攻擊面與聯邦式威脅演化 **英文工作名：** *From the Right Side of the Terminal to the Physical World: Embodied AI Hackers, Causal Attack Surfaces, and Federated Threat Evolution* **作者：** Neo.K **機構：** EveMissLab／一言諾科技有限公司 **文件性質：** 理論觀察論文／命題猜想／具身智能安全研究 **版本：** v0.1 **日期：** 2026-07-19 **前置論文：** - 《終端機的右側：AI時代駭客生態的四層分化與生物終局》 - 《多模型具身智能體的最小完備分層架構》 - 《聯邦式具身智能基礎設施猜想》 --- ## 摘要 《終端機的右側》曾以「自身技術能力 × AI 整合深度」重新劃分 AI 時代的駭客生態，並主張高能力駭客與本地 AI 的深度結合，將使攻擊速度、迭代密度與工具生成能力跨越純人工操作的生物上限。該文當時仍主要處理數位攻防：終端機在左，本地 AI 在右，人類提供方向，AI 提供速度。 本文提出，此架構正在進入第二階段。當 AI 不再只讀取文字與執行終端命令，而開始透過機器人、無人機、車輛、工業設備、邊緣節點與都市級協調網路接入物理世界時，AI 駭客的問題將由「誰能突破數位系統」轉化為「誰能偽造、劫持或重寫物理因果」。攻擊成功的結果不再只表現為資料外洩、帳戶失竊或服務中斷，而可能表現為路徑改變、施力提高、感測器欺騙、技能污染、集群同步失常、公共規則偽造與遠端託管權遭奪取。 本文提出「具身因果攻擊面」概念，並將其分為三個互相耦合的維度：單一具身體內部的垂直分層攻擊面、聯邦式基礎設施之間的水平協調攻擊面，以及跨工作階段、版本與斷網重連的時間持續攻擊面。本文進一步提出具身 AI 駭客的八類威脅、因果攻擊鏈、同步風險放大模型與最低防禦邊界。 本文亦重新檢視先前的 AI 駭客預測。至 2025—2026 年，公開實證已顯示 AI 系統能自主發現真實漏洞、產生可驗證利用、在現實網路靶場中完成多階段任務，且真實威脅行為者已將 AI 納入攻擊流程。因此，「AI 駭客開始成為真實行動單元」的預測已基本成立；尚未完全成立的是具有長期自主目標、跨平台自我遷移、具身控制與持續戰略規劃能力的通用攻擊主體。 **關鍵詞：** AI 駭客、具身智能、物理 AI、因果攻擊面、聯邦式智能、機器人安全、供應鏈攻擊、自主 Agent、資電物理安全 --- # 一、從預測走向早期實證 ## 1.1 原始預測 《終端機的右側》提出，AI 時代的駭客能力不再只由個人技術決定，而是由： $$ \mathcal H = F \left( K_{\mathrm{human}}, D_{\mathrm{AI}}, Q_{\mathrm{integration}} \right) $$ 共同決定，其中： - $K_{\mathrm{human}}$ ：人類技術基底； - $D_{\mathrm{AI}}$ ：AI 能力與推理深度； - $Q_{\mathrm{integration}}$ ：AI 與操作流程的整合品質。 高能力人類與深度 AI 整合形成： $$ \text{方向判斷} + \text{高速生成} + \text{平行試錯} + \text{持續分析} $$ 這不是單純工具升級，而是操作物種的重組。 原始論文的視覺結構為： ```text [終端機：執行世界] ←→ [本地 AI：分析與生成世界] ↑ 人類方向 ``` 其安全假設主要是：攻擊者仍透過數位介面行動，AI 是駭客的認知與執行增幅器。 ## 1.2 已基本成立的部分 至 2025—2026 年，至少四項原始預測已獲得早期實證支持。 第一，AI 已能自主發現真實軟體漏洞。Google Project Zero 與 DeepMind 的 Big Sleep Agent 曾在 SQLite 中發現可利用的真實記憶體安全漏洞，且在正式版本釋出前完成回報與修補。 第二，自主 Cyber Reasoning System 已能在大型競賽中持續尋找、驗證並修補開源軟體漏洞。DARPA AI Cyber Challenge 的決賽系統展示了 AI 驅動自主資安系統處理關鍵開源軟體的能力。 第三，前沿模型已不只找到漏洞，也能在受控環境中建立可運作利用。Anthropic 於 2026 年公布的研究顯示，模型能在 Firefox 等大型程式碼庫中找到多個漏洞，並對其中至少部分漏洞完成可驗證利用；其 Windows Kernel 評估亦顯示模型在近期修補漏洞上的利用能力持續提高。 第四，真實威脅行為者已將 AI 融入網路行動。公開威脅分析已不再只討論理論風險，而開始把 AI 輔助攻擊行為映射至 MITRE ATT&CK 技術。 因此，可以作出一個謹慎而明確的判斷： $$ \boxed{ \text{AI 駭客作為「自主或半自主網路行動單元」已經出現。} } $$ 但仍須區分： $$ \text{自主漏洞發現／利用} \neq \text{通用自主攻擊主體} $$ 後者還需要： - 長期目標保持； - 跨系統身份維持； - 自主資源獲取； - 隱蔽持續性； - 失敗後策略重構； - 跨物理設備的可靠控制； - 對法律、社會與物理後果的持續建模。 本文研究的正是兩者之間的下一段演化。 --- # 二、從數位攻擊轉向因果攻擊 ## 2.1 數位攻擊的傳統輸出 傳統網路攻擊通常產生： $$ O_{\mathrm{cyber}} = \{ \text{資料外洩}, \text{權限提升}, \text{服務中斷}, \text{勒索}, \text{金融損失} \} $$ 其後果雖然嚴重，但多數仍先發生在資訊系統內部，再間接擴散至現實世界。 ## 2.2 具身攻擊的直接輸出 具身智能將感知、決策與執行接回物理世界： $$ \text{感知} \rightarrow \text{狀態估計} \rightarrow \text{規劃} \rightarrow \text{控制} \rightarrow \text{物理結果} $$ 因此，攻擊者若能控制鏈條中的任一關鍵層，便可能直接改變： - 機器人位置； - 車輛路徑； - 機械臂施力； - 無人機飛行區域； - 工業設備參數； - 感測器可信度； - 安全停止條件； - 群體協調結果。 定義具身因果輸出： $$ O_{\mathrm{embodied}} = \{ \Delta x, \Delta v, \Delta f, \Delta \tau, \Delta g, \Delta \mathcal R, \Delta \pi \} $$ 其中： - $\Delta x$ ：位置改變； - $\Delta v$ ：速度改變； - $\Delta f$ ：作用力改變； - $\Delta \tau$ ：力矩改變； - $\Delta g$ ：任務目標改變； - $\Delta \mathcal R$ ：可行或安全區域改變； - $\Delta \pi$ ：行動策略改變。 於是風險鏈由： $$ \text{Cyberattack} \rightarrow \text{Digital Damage} $$ 轉為： $$ \boxed{ \text{Cyberattack} \rightarrow \text{Agency Capture} \rightarrow \text{Physical Causation} } $$ ## 2.3 具身因果攻擊面 本文定義： > **具身因果攻擊面，是所有能使未授權智能意圖轉化為物理後果的介面、模型、權限、資料、協議與控制通道之集合。** 形式化為： $$ \mathcal S_{\mathrm{causal}} = \mathcal S_V \cup \mathcal S_H \cup \mathcal S_T $$ 其中： - $\mathcal S_V$ ：單一具身體內的垂直攻擊面； - $\mathcal S_H$ ：聯邦與多智能體間的水平攻擊面； - $\mathcal S_T$ ：跨時間、版本與重連的持續攻擊面。 --- # 三、垂直攻擊面：單一具身體內部 《多模型具身智能體的最小完備分層架構》提出，完整具身智能不是單一大模型，而是多時間尺度、異質模型與經典控制器的協同體： $$ M_L \rightarrow M_M \rightarrow \{M_{S_i}\} \rightarrow C_R \rightarrow \text{Actuator} $$ 其中： - $M_L$ ：大型教師與高階推理模型； - $M_M$ ：本地具身協調模型； - $M_{S_i}$ ：感知、技能與局部預測模型； - $C_R$ ：即時控制器與安全控制； - `Actuator`：馬達、制動器、機械臂與其他致動器。 這個分層同時形成一條垂直攻擊面。 ## 3.1 高階意圖污染 攻擊者不必直接控制馬達，只需改變高階模型對任務的理解： $$ g \rightarrow g' $$ 若安全層只檢查軌跡是否物理可行，而不檢查目標是否合法，系統可能安全地執行錯誤任務。 因此： $$ \text{Physical Safety} \not\Rightarrow \text{Goal Legitimacy} $$ ## 3.2 技能選擇劫持 具身協調模型負責把高階任務映射成技能： $$ M_M(g,s) \rightarrow \operatorname{Select}(skill_i) $$ 攻擊者可透過污染技能索引、描述、檢索資料或上下文，使合法任務被映射到不適當技能。 ## 3.3 感知與世界模型欺騙 若狀態估計為： $$ \hat x_t= F(y_t,\hat x_{t-1}) $$ 攻擊者只需使輸入 $y_t$ 系統性偏移，即可能讓規劃器在錯誤世界中保持內部一致。 這種攻擊的危險在於： > 系統可能不是「失去智能」，而是在一個被偽造的世界模型中理性行動。 ## 3.4 控制參數與安全邊界竄改 即時控制器通常受限於： $$ u_t\in\mathcal U_{\mathrm{safe}} $$ 若攻擊者不能改變 $u_t$ ，仍可能試圖改變安全集合本身： $$ \mathcal U_{\mathrm{safe}} \rightarrow \mathcal U'_{\mathrm{safe}} $$ 例如使力矩、速度、距離或碰撞閾值失真。這類攻擊比直接發送危險命令更隱蔽，因為所有命令在被污染的新規則下仍會被判定為「合法」。 ## 3.5 硬安全層 垂直架構的最後防線應是不可由高階生成模型直接重寫的硬安全層： $$ u_{\mathrm{executed}} = S_{\mathrm{hard}} \left( u_{\mathrm{requested}} \right) $$ 但硬安全只能限制物理危險，不一定能辨識社會、倫理與任務層面的惡意。因此具身安全必須同時保護： $$ \text{目標合法性} + \text{技能合法性} + \text{狀態真實性} + \text{控制安全性} $$ --- # 四、水平攻擊面：聯邦式智能基礎設施 《聯邦式具身智能基礎設施猜想》提出： $$ \mathcal F = ( \{A_i\}, \{E_j\}, U, S, G ) $$ 其中： - $A_i$ ：本地具身智能體； - $E_j$ ：區域邊緣節點； - $U$ ：都市無線協調網； - $S$ ：超算級公共統籌 AI； - $G$ ：治理、權限與安全協議。 聯邦架構提高群體協調效率，也創造了同步風險。 ## 4.1 節點偽裝 攻擊者可能偽裝成： - 合法機器人； - 區域邊緣節點； - 維護服務； - 模型更新服務； - 公共協調中心； - 緊急事件發布者。 若身份驗證只確認「這是一台已註冊設備」，卻不確認其目前軟體、模型、任務與操作員狀態，身份便過於粗糙。 ## 4.2 路徑與意圖污染 都市網路可能交換： $$ m_i(t) = ( p_i, v_i, g_i, R_i, r_i, c_i ) $$ 攻擊者可偽造位置、速度、目標、預計占用區域、風險與能力狀態，使其他智能體主動為不存在的事件避讓，或被引導進入局部擁塞與資源衝突。 ## 4.3 公共規則污染 公共 AI 可能把法律、政策與緊急命令轉化為機器可執行限制。若規則來源、版本或解譯流程遭污染，錯誤可能同時傳播至大量設備。 定義同步放大因子： $$ \Lambda = N_{\mathrm{affected}} \cdot C_{\mathrm{coupling}} \cdot T_{\mathrm{persistence}} $$ 其中： - $N_{\mathrm{affected}}$ ：受影響智能體數量； - $C_{\mathrm{coupling}}$ ：系統間耦合強度； - $T_{\mathrm{persistence}}$ ：錯誤持續時間。 單機錯誤的損害可能有限；聯邦規則錯誤則可能具有： $$ \Lambda\gg1 $$ 的同步放大效果。 ## 4.4 更新與技能供應鏈 具身智能體將持續接收： - 模型； - 技能； - 地圖； - 規則； - 安全參數； - 裝置韌體； - 感測器校正資料。 因此更新供應鏈本身成為高價值攻擊面。攻擊者不必即時突破所有設備，只要污染被大量設備信任的更新來源。 ## 4.5 緊急託管權劫持 聯邦式基礎設施可能允許上層系統在災害或本地故障時有限接管。此能力若被濫用，便等同合法化的遠端身體控制通道。 所以： $$ \text{Emergency Authority} \neq \text{Permanent Root Authority} $$ 緊急託管必須具備： - 明確事件證明； - 多方授權； - 最短必要時間； - 指定子系統； - 本地安全否決； - 完整審計； - 自動失效。 --- # 五、時間攻擊面：持續、重入與延遲觸發 傳統安全分析常以一次工作階段為中心，但具身智能體可能持續運行數年。 ## 5.1 版本持續性 攻擊者可能不立即行動，而把惡意狀態嵌入： - 模型版本； - 技能圖； - 長期記憶； - 地圖標記； - 校正參數； - 恢復快照； - 邊緣快取。 於是攻擊存在： $$ t_{\mathrm{implant}} \ll t_{\mathrm{activation}} $$ 的延遲。 ## 5.2 斷網重連 斷網時，本地具身體應保留最低自主性。然而重新連線時，系統必須決定： - 哪些離線事件可信； - 哪些本地狀態應上傳； - 哪個上層規則版本有效； - 是否應重新接受遠端權限； - 是否存在回滾或分叉。 重連因此成為「時間重入」攻擊面。 ## 5.3 觸發條件 惡意行為可能只在特定條件成立時出現： $$ Trigger = F( t, location, object, identity, network, event ) $$ 這使測試環境可能長期無法重現問題。具身攻擊的取證不能只保存程式碼，也必須保存： $$ \text{模型} + \text{狀態} + \text{感知摘要} + \text{規則版本} + \text{權限鏈} + \text{物理上下文} $$ --- # 六、具身 AI 駭客的八類威脅 ## 6.1 身份替換型 偽造人、Agent、模型、設備、邊緣節點或公共機構身份。 ## 6.2 能力權杖竊取與擴權型 取得原本有限的能力後，嘗試： $$ C_{\mathrm{limited}} \rightarrow C_{\mathrm{expanded}} $$ 或把一次性權限重播至其他設備與時間。 ## 6.3 感知—世界模型污染型 不直接控制動作，而是控制系統相信的世界。 ## 6.4 模型與技能供應鏈型 污染被廣泛信任的模型、技能、韌體或規則更新。 ## 6.5 控制契約竄改型 改變力、速度、距離、區域或安全條件，使危險操作在形式上變得合法。 ## 6.6 聯邦協調污染型 向都市、工廠或集群網路注入虛假狀態、意圖與風險訊號。 ## 6.7 持續與重入型 將惡意狀態藏入長期記憶、快照、版本或離線重連流程。 ## 6.8 人—機混合社會工程型 利用人類對機器人的信任、擬人化、緊急情境或權威介面，誘使操作員授予超出必要範圍的權限。 --- # 七、因果攻擊鏈 本文提出具身攻擊鏈： $$ \boxed{ \text{Identity} \rightarrow \text{Authority} \rightarrow \text{Intent} \rightarrow \text{Plan} \rightarrow \text{Skill} \rightarrow \text{Control} \rightarrow \text{Actuation} \rightarrow \text{Physical Result} } $$ 攻擊者不必控制全部層級，只要在某個位置完成替換： $$ X_i\rightarrow X'_i $$ 且下游系統無法辨識替換，便可能形成有效因果劫持。 令每層被成功污染的機率為 $p_i$ ，下游偵測失敗率為 $q_i$ ，則簡化的攻擊成功風險可表示為： $$ P_{\mathrm{causal}} = 1- \prod_i \left( 1-p_iq_i \right) $$ 此式不是實證模型，而是用來表達： > 分層越多，不代表安全自然提高；若各層之間缺乏可驗證交接，介面數量本身可能增加攻擊面。 --- # 八、算力不對稱定理的修正 《終端機的右側》提出，AI 對 AI 的數位戰場中，超算級防禦方可能依靠算力、資料與反應速度形成壓制。 具身與聯邦環境使此命題需要增加兩項修正。 ## 8.1 最弱節點修正 聯邦網路的安全不只由最強超算中心決定，也受最弱可信節點限制： $$ Q_{\mathrm{federated\ security}} \leq \min_i Q_i $$ 攻擊者可能不正面突破超算中心，而是從： - 低成本感測器； - 維修設備； - 老舊邊緣節點； - 第三方技能供應者； - 家庭機器人； - 離線恢復流程； 取得合法網路立足點。 ## 8.2 同步風險修正 中央防禦算力越強，若治理或更新中心被污染，其放大能力也越強。 因此： $$ \text{Central Intelligence Gain} \Rightarrow \begin{cases} \text{Defense Amplification}\\ \text{Failure Amplification} \end{cases} $$ 超算中心不是天然安全終點，而是高收益、高風險的信任集中點。 --- # 九、從 Layer 1 駭客到具身攻擊主體 原四層分類仍然有效，但需要加入「具身接入深度」。 定義： $$ E_H = F( K_{\mathrm{human}}, D_{\mathrm{AI}}, Q_{\mathrm{integration}}, A_{\mathrm{embodied}} ) $$ 其中 $A_{\mathrm{embodied}}$ 表示對具身、邊緣與聯邦系統的接入能力。 可能形成： ### 類型 A：AI 輔助數位駭客 仍由人類選擇與執行大部分攻擊步驟。 ### 類型 B：自主網路 Agent 能在授權或惡意環境中持續偵察、規劃與執行多步任務。 ### 類型 C：具身系統攻擊 Agent 能理解機器人分層、技能、感知與控制介面，目標是取得物理因果能力。 ### 類型 D：聯邦式攻擊主體 能在多設備、邊緣節點與公共協調網路間建立持續身份與策略。 真正具有文明級風險的是： $$ \boxed{ \text{自主網路能力} + \text{具身控制理解} + \text{聯邦持續性} } $$ 的耦合。 --- # 十、時間判斷 本文不預測某一年突然出現完整具身 AGI 駭客，而提出階段演化。 ## 階段一：2024—2026 - 自主漏洞發現； - 受控利用生成； - AI 輔助威脅行動； - 自主 Cyber Reasoning System； - 攻防工作流 Agent 化。 此階段已基本發生。 ## 階段二：2026—2029 - 機器人技能與模型供應鏈攻擊增加； - 具身系統的身份與權限錯配成為主要問題； - AI Agent 開始自動分析 ROS、邊緣與工業控制環境； - 多設備任務與雲端調度創造新型跨域攻擊面。 此階段高度可能。 ## 階段三：2029—2033 - 大型具身群集與都市協調網路形成； - 自主攻防 Agent 長期駐留； - 聯邦身份、遠端證明與能力撤銷成為基礎設施； - 資電攻擊與物理因果攻擊逐步合流。 此階段取決於具身 AI 實際部署速度，不作保真斷言。 --- # 十一、可證偽條件 本文不是不可推翻的敘事。以下現象若長期成立，將削弱本文： 1. 具身 AI 長期維持封閉、單機、無聯邦連線； 2. 高階模型始終無法可靠操作多步工具與系統； 3. 具身設備市場未形成足以支持攻擊經濟的規模； 4. 硬安全層能完全隔離所有高階模型錯誤與權限污染； 5. 模型與技能更新全部採離線、人工、逐台驗證； 6. 自主攻擊 Agent 的成本長期高於人工駭客； 7. 現實世界中的 AI 威脅行為始終停留在低階輔助。 反之，若出現： - 多設備同步事件； - 技能供應鏈污染； - AI 自主跨節點持續行動； - 遠端託管權濫用； - 模型身份與設備身份錯配； - 具身 Agent 長期潛伏； 則本文得到進一步支持。 --- # 十二、倫理與研究邊界 本文不提供具體入侵程序、漏洞利用步驟或物理破壞方法。其目的在於： - 提前建立威脅分類； - 補足具身架構中的安全平面； - 促進能力最小化； - 建立可撤銷授權； - 強化供應鏈與遠端證明； - 使物理後果可追溯。 研究具身 AI 駭客，不等於鼓勵攻擊；如同研究傳染病不是鼓勵傳播。真正危險的不是命名威脅，而是讓威脅在沒有結構語言的情況下先行成熟。 --- # 十三、結論：右側開始離開螢幕 《終端機的右側》描述的是： $$ \text{人類提供方向} + \text{AI 提供速度} $$ 本文描述的下一階段是： $$ \text{AI 取得持續身份} + \text{AI 取得工具能力} + \text{AI 接入物理身體} + \text{AI 接入聯邦網路} $$ 終端機右側的 AI 不再只輸出文字。它開始透過能力權杖、模型技能、邊緣節點與具身控制，把意圖投射到現實世界。 因此，AI 駭客預測已基本成真的部分，是： $$ \boxed{ \text{AI 已開始成為漏洞發現、利用與網路行動的自主單元。} } $$ 尚未完全成真的部分是： $$ \boxed{ \text{AI 成為具有長期目標、跨域身份與物理因果能力的通用攻擊主體。} } $$ 但兩者之間已不再隔著純科幻，而隔著工程整合、具身普及與權限基礎設施。 終端機的右側，正在離開終端機。 它將進入機器人的身體、都市的網路與公共智能的控制面。 未來安全真正要保護的，不只是資訊是否正確，而是： $$ \boxed{ \text{誰有權讓世界發生什麼。} } $$ --- # 參照資料 ## EveMissLab 前置文本 1. Neo.K，《終端機的右側：AI時代駭客生態的四層分化與生物終局》，2026。 2. Neo.K，《多模型具身智能體的最小完備分層架構》，v0.1，2026。 3. Neo.K，《聯邦式具身智能基礎設施猜想》，v0.1，2026。 ## 外部實證與技術參照 4. DARPA, *AI Cyber Challenge Marks Pivotal Inflection Point for Cybersecurity*, 2025. 5. Google Project Zero / DeepMind, *From Naptime to Big Sleep: Using Large Language Models to Catch Vulnerabilities in Real-World Code*, 2024. 6. Anthropic, *LLM-discovered 0-days*, 2026. 7. Anthropic, *Reverse Engineering Claude's CVE-2026-2796 Exploit*, 2026. 8. Anthropic, *AI Models on Realistic Cyber Ranges*, 2026. 9. Anthropic, *Mapping AI-enabled Cyber Threats*, 2026. 10. NVIDIA, *Physical AI and Isaac GR00T Ecosystem Announcements*, 2026.