大家读完觉得有帮助记得关注和点赞！！！
摘要
成熟的威胁建模方法体系（STRIDE、PASTA、Trike、OCTAVE、LINDDUN、攻击树，以及MITRE ATT&CK等对手行为目录）是为具备清晰安全边界、单一所属组织和严格技术/运营风险分离的软件产品与企业设计的。现代组织日益违背这三项假设：它们在自身不拥有的云和SaaS控制平面上运行，将特权权限分散给创始人、承包商、供应商、签名者、委员会和自动化系统，并通过人工审批仪式和供应链环节暴露价值，而非依赖网络边界。在此类环境中，主要的失效模式是已授权但恶意的参与者、名义上独立各方之间的合谋、控制平面与CI/CD被攻陷，以及高价值操作的运营处置不当。现有方法要么忽略这些类别，要么将其置于范围之外。我们提出TRACE——一种威胁建模方法，它将威胁参与者、角色、资产、关键不变式以及信任/权限边视为一等公民，并通过证据链相互连接，且明确涵盖三个层面：协议、系统和组织。我们首先在十个维度上对九种广泛使用的威胁建模与对手分析框架进行了结构化比较，随后刻画了每种方法在分布式、云优先、零信任环境中的短板。接着，我们详述了TRACE：其核心模型、三大应用支柱、顺序门控工作流，以及一种支持人机协作的证据与可追溯性规范——在此规范下，大语言模型加速信息提取与覆盖度分析，而资深评审员保留对不变式、严重程度和合谋风险的判断权。TRACE源于Web3安全实践（其中高价值资产、分布式权限与人类操作紧密耦合），但它与具体技术栈无关。我们讨论了其与零信任架构和问责拜占庭共识的关系、其局限性，以及围绕实证验证的开放性问题。
关键词：威胁建模；STRIDE；PASTA；攻击树；零信任；供应链安全；内部威胁；合谋；Web3；人机协作。
1 引言
威胁建模是一门在发生实证性故障之前，推理系统必须保护什么、谁能影响它以及它可能如何失效的学科。其价值在早期最高，因为此时设计和运营假设仍易于调整[23]。三十年来，该领域产生了大量工具：用于结构化威胁发掘的STRIDE[13, 16]、用于目标导向分解的攻击树[21]、以风险和业务为中心的PASTA[26]、面向组织风险的OCTAVE[2, 3]、关注隐私的LINDDUN[8]，以及对手行为知识库如网络杀伤链[11]和MITRE ATT&CK[25]。软件工程研究所的调查对这些及其他方法进行了编目[22]。
几乎所有这些方法都隐含或明确地继承了它们成熟年代的三项假设：
存在边界。有内部和外部之分；主要对手是外部的；信任可以在边界处授予。
单一所属组织。一家企业拥有资产、基础设施和操作人员；风险清晰地分解为“系统”和“公司”。
授权即安全。如果每个权限检查都通过，系统就在正确运行；威胁是那些未获授权的参与者。
现代运营环境打破了所有这三项假设。组织在它们不拥有且无法完全检查的云IaaS、SaaS和身份提供商上运行；NIST的零信任架构指南[19]和CISA的成熟度模型[7]之所以存在，正是因为边界已不再描述现实。特权权限分散在创始人、远程员工、承包商、供应商、托管服务提供商、多签签名者、治理委员会和自动化流水线中，这些实体常跨越多个法律主体。近期最具破坏性的事件并非未授权访问漏洞，而是已授权路径的失效：被攻陷的构建流水线推送了带签名的更新[27]、签名者因界面被篡改而受骗批准恶意交易[10]，或特权角色在其正式权限内行事。内部威胁和供应链向量如今在入侵事件中占比巨大且持续增长[28]，而在高价值的去中心化系统中，运营和人为因素导致的失陷超过了纯协议漏洞[4]。
本文做出三项贡献：
结构化比较（第2节）：在十个维度上对比九种广泛使用的威胁建模与对手分析框架，区分各自所长与结构性缺失。
差距分析（第3节）：将这些缺失定位在分布式、云优先、零信任的环境中：不变式、分布式权限、合谋、控制平面与供应链环节，以及人类/运营失效。
TRACE方法体系（第4-5节）：其核心模型、三大应用支柱、顺序门控工作流，以及一种使人机协作安全且可评审的证据与可追溯性规范。
TRACE并不取代STRIDE、攻击树或零信任实施工作；它是对它们的编排。它重用STRIDE进行发掘，重用攻击树进行深入分析，但它改变了模型的基元，使得不变式、分布式权限和合谋面成为分析师必须命名并关联到证据的对象。
2 背景：威胁建模框架的比较综述
我们总结了实践中最常用的几种方法，按其主导分析立场分组，然后在十个维度上进行比较。
2.1 以系统与软件为中心的信息发掘
STRIDE。由Kohnfelder和Garg在微软提出[13]，后来嵌入安全开发生命周期[17, 23]。STRIDE是一个助记分类法：假冒（Spoofing）、篡改（Tampering）、抵赖（Repudiation）、信息泄露（Information disclosure）、拒绝服务（Denial of service）和权限提升（Elevation of privilege）。每个类别对应一种期望属性的违反（认证、完整性、不可抵赖性、机密性、可用性、授权）。该方法通常应用于数据流图（DFD），采用“每元素STRIDE”或“每交互STRIDE”变体。其优势在于对传统组件的覆盖完整性和低采用成本。其弱点已有充分记载：在非平凡DFD上会出现威胁爆炸，依赖图表质量，没有原生风险评级（配套的DREAD评级因主观性已被弃用），且其属性分类法未说明参与者是谁或操作是否被授权。
Trike。Trike[20]是一种基于风险、需求驱动的方法，围绕参与者-资产-动作矩阵和明确的接受风险模型构建。它根据CRUD风格的权限矩阵自动推导威胁（限于权限提升和拒绝服务）。它引入了对“谁被允许做什么”的有用严谨性，但依赖工具，维护有限，且仍局限于应用范围。
LINDDUN。LINDDUN[8]在隐私领域镜像了STRIDE的结构：关联性（Linkability）、可识别性（Identifiability）、不可抵赖性（Non-repudiation）、可检测性（Detectability）、信息泄露（Disclosure of information）、不知情性（Unawareness）和不合规（Non-compliance）。它的存在印证了促使TRACE诞生的普遍观点：当威胁模型的分类法与风险领域相匹配时，其力量最强。在LINDDUN中，是分类法而非图表绘制承担了分析工作。
2.2 以风险与攻击者为中心的过程方法
PASTA。攻击模拟与威胁分析流程[26]是一个七阶段、以风险为中心的方法论：（1）定义业务目标，（2）定义技术范围，（3）分解应用，（4）分析威胁，（5）分析漏洞与弱点，（6）建模攻击，（7）分析风险与影响。PASTA的优势在于将技术威胁与业务影响明确关联，并包含攻击者模拟步骤。其代价是繁重：重量级、需要专业知识，且面向应用或产品，而非跨组织的控制结构。
攻击树。由Schneier推广[21]，攻击树是将攻击者目标分解为子目标和叶节点的AND/OR分解，可选标注成本、可行性或概率。它是一种深度工具，而非发现工具：它回答“如何实现目标G？”，但前提是分析师已经识别出G。TRACE正是以此互补角色使用它们。
2.3 以组织与资产为中心的方法
OCTAVE / OCTAVE Allegro。OCTAVE[2]及其精简版OCTAVE Allegro[3]是SEI提出的以资产和组织的为中心的风险评估框架。它们从组织关键的信息资产及其容器出发，并明确吸纳运营人员参与，而非仅限架构师。这是最接近TRACE组织支柱的现有方法。其在当前环境下的局限性在于：它以信息资产为导向（不太适合价值、密钥和权限资产），依赖研讨会，且未设计为与技术攻击分解或分布式权限分析集成。
VAST。可视化、敏捷和简化的威胁方法，体现在ThreatModeler工具中[1]，通过区分应用威胁模型（过程流图）和运营威胁模型，并与CI/CD集成，以实现企业级可扩展性。其对规模和自动化的重视具有参考价值，但它是一种商业工具化方案，而非开放的方法论，且未引入不变式、合谋或分布式权限基元。
混合与人为因素方法。SEI的混合威胁建模方法（hTMM）[15]结合安全卡片[9]和“不受欢迎的人物”（Persona non Grata）[6]与SQUARE，以平衡覆盖率和误报率。安全卡片和PnG特别推动分析师推理对手原型、动机和人类影响，这是STRIDE缺失的维度。但这些仍属于头脑风暴辅助工具，而非完整的结构化流程。
2.4 对手行为知识库
网络杀伤链与MITRE ATT&CK。洛克希德·马丁的网络杀伤链[11]将入侵建模为有序的阶段序列（从侦察到目标达成）。MITRE ATT&CK[25]是一个丰富得多的、基于实证的对手战术、技术和程序（TTP）知识库。两者都不是设计时的威胁建模方法；它们是部署后的、威胁知情防御和检测工程工具。它们描述的是已知对手如何对已部署的系统进行操作，而非特定系统必须保护什么或其假设哪里不自洽。
2.5 标准背景
补充说明，NIST SP 800-30[12]构建了风险评估框架，SP 800-154[24]提出了以数据为中心的系统威胁建模，SP 800-207[19]规范了零信任架构，OWASP[18]概括了通用的四问循环（“我们在构建什么、可能出什么问题、我们将怎么做、我们做得好吗”）。这些都是参考框架而非竞争方法论，TRACE特别将自己定位为零信任的关联项（第4.2节）。
2.6 比较
表1在十个维度上比较了上述方法，这些维度选定为暴露分布式、云优先环境的特点。模式是一致的：每种方法在其起源领域都很强，但在其他领域结构性地沉默。没有任何现有方法同时将不变式、分布式权限、合谋、控制平面/供应链环节以及人类/运营风险作为一等公民处理。
表1：威胁建模与对手分析方法在十个维度上的对比。
∙ = 一等公民/原生支持；∘ = 部分或临时支持；– = 未涉及。
维度说明：Pers. 主导视角（Sys=系统/资产，Att=攻击者，Org=组织，Adv=对手行为）；Rank 原生风险评级；Inv 关键不变式作为对象；Auth 分布式/特权权限；Coll 合谋与协调；Supply CI/CD与供应链环节；Cloud 云/SaaS控制平面与零信任适配；Human 人类/运营失效；Trace 证据可追溯性；AI 原生支持人机协作。
方法 | Pers. | Rank | Inv | Auth | Coll | Supply | Cloud | Human | Trace | AI |
|---|---|---|---|---|---|---|---|---|---|---|
STRIDE | Sys | – | – | – | – | ∘ | ∘ | – | ∘ | – |
Trike | Sys | ∙ | – | ∘ | – | – | – | – | ∘ | – |
LINDDUN | Sys | ∘ | – | – | – | – | – | – | ∘ | – |
PASTA | Att | ∙ | ∘ | ∘ | – | ∘ | ∘ | ∘ | ∘ | – |
攻击树 | Att | ∘ | – | ∘ | ∘ | ∘ | ∘ | ∘ | – | – |
OCTAVE (Allegro) | Org | ∙ | ∘ | ∘ | – | – | – | ∙ | ∘ | – |
VAST | Sys | ∘ | – | – | – | ∘ | ∘ | – | ∘ | – |
hTMM / PnG | Adv | ∘ | – | ∘ | ∘ | – | – | ∘ | – | – |
杀伤链 / ATT&CK | Adv | ∘ | – | – | – | ∘ | ∘ | – | ∘ | – |
TRACE | Sys+Org+Att | ∙ | ∙ | ∙ | ∙ | ∙ | ∙ | ∙ | ∙ | ∙ |
3 现有方法在分布式、云优先环境中的短板
以下不足并非所调研方法在其设计范围内的缺陷；而是将边界与产品假设应用于不再满足这些假设的环境所导致的后果。
3.1 边界已消解于环节之中
基于DFD的STRIDE等方法假定信任是在可信与不可信区域之间的边界处授予的。在云优先组织中，不存在单一边界：存在许多环节，价值、控制、数据或权限在这些环节上跨越身份提供商与云账户、CI作业与生产部署、供应商与内部系统、签名者与审批流程。零信任[19]的存在是因为每次跨越都必须按请求进行评估。现有方法可以在图表上标注边界，但它们不将环节作为分析单元，也不在每次跨越时系统地提出零信任问题（“如果此请求的源头已被攻陷怎么办？”）。
3.2 授权被建模了；权限却没有
STRIDE的权限提升类别和Trike的权限矩阵询问的是参与者能否执行其不被允许的操作。它们对一个被允许却行事有害的参与者——恶意或被攻陷的管理员、部署者、签名者或治理代表——基本保持沉默。在分布式组织中，这是主导性风险：一个完全在其正式权限内运作的特权角色可以抽干价值、发布后门版本或劫持治理。分析师不仅需要问“此操作能否成功？”，还需要问“此参与者能造成什么后果？”。权限（区别于授权）在任何调研方法中都不是一等公民。
3.3 合谋与协调超出范围
没有主流威胁建模方法对参与者组合进行建模。然而，多签法定人数、治理委员会、验证者集、供应商关系和审批仪式都是在协调行为而非单一参与者行为下失效的。相关问题（k/n个签名者能否合谋？两个“独立”供应商真的独立吗？委员会法定人数能否被缓慢捕获？）是分布式系统理论（拜占庭容错[14]、问责共识[5]）的主题，却缺席于威胁建模工具箱。孤立地对待每个参与者，会系统性低估任何将安全性寄托于阈值或职责分离的系统的风险。
3.4 供应链与控制平面就是攻击面
近期影响最大的失效针对的是构建和部署控制平面，而非运行中的应用：被攻陷的软件更新流水线[27]、包仓库和依赖项被攻陷、CI密钥外泄，以及将云配置失误转化为生产控制的IAM错误配置。STRIDE和PASTA可以被拉伸以覆盖这些，但它们并不原生地将CI/CD到部署的权限、构件完整性或第三方控制平面作为核心对象建模。ATT&CK描述性地编目了此类技术，但未提供对特定组织构建与发布权限图的设计时模型。
3.5 人类与运营现实被视为背景
OCTAVE和人为因素方法（安全卡片、PnG）最接近：它们吸纳人员参与，但它们并未将人类和程序性失效在一个模型中回溯连接到技术资产和不变式。与此同时，去中心化、远程优先的组织经常将灾难性权限集中在少数极高特权个体手中。笔记本被攻陷、审批仪式不明确、仓促的事件响应、欺骗性的签名界面[10]或账户恢复路径，可能与任何代码漏洞一样具有决定性。一种只建模软件却不建模围绕其运营的行为的方法，会给出虚假的覆盖感。
3.6 不变式从未被命名
综上所述：现有方法列举威胁（通用属性的违反），但很少强迫分析师陈述系统必须保持的具体不变式：偿付能力、职责分离、审批完整性、权限边界、部署完整性、恢复能力。没有明确不变式，威胁评级就没有锚点：严重性变成了一个组件看起来有多技术性或多新的函数，而不是它会破坏什么。不变式是资产和威胁之间缺失的语义层。
3.7 方法早于人机协作时代
最后，所有调研的方法都是在大型语言模型能够可信地摄取异构源语料并起草模型对象、STRIDE候选和攻击树分支之前制定的。若幼稚地使用LLM，会放大上述失效模式：它产生通用的边界时代威胁清单、看似合理却无支撑的架构假设，以及结构上优雅但在运营上不切实际的攻击树。现有方法均未提供一种规范，以便在保留专家判断和证据可追溯性的前提下整合此类辅助。
4 TRACE方法体系
TRACE是一种威胁建模方法，它将异构源材料转化为资产、角色、不变式、信任边界、价值流、权限路径和失效路径的结构化、证据关联的模型，然后据此推导出分级威胁、攻击树、合谋分析和优先级缓解路线图。它是证据驱动的：每一个实质性威胁都应可追溯到一个源、一个模型对象、一个假设、一个边界或一条攻击路径。
它诞生于Oak Security的Web3安全实践，在那里高价值资产、分布式权限、治理、链下基础设施和人类操作紧密耦合，从而集中暴露了第3节的缺口。该方法与具体技术栈无关，适用于任何具有碎片化控制路径、云与SaaS依赖链、关键人类审批、外部操作系统且无清晰边界的组织。
4.1 核心模型
TRACE将五类对象设为一等公民。其缩写命名如下：
威胁参与者（Threat actors）。有能力、动机或权限影响目标的参与者：外部攻击者、内部人员、供应商、承包商、服务提供商、管理员、代表、被攻陷的用户、经济对手、治理参与者。
角色（Roles）。目标内部的特权或运营职位：创始人、高管、签名者、维护者、部署者、管理员、操作员、响应者、服务所有者。角色定位权限。
资产（Assets）。必须保护的价值、控制、数据、权限或连续性：资金、密钥、凭证、生产控制、客户数据、正常运行时间、品牌信任、源代码、治理权。
关键不变式（Critical invariants）。必须保持为真的属性：职责分离、审批完整性、数据完整性、财务正确性/偿付能力、权限边界、部署完整性、恢复能力。不变式是评级的锚点。
边（Edges）。信任、价值、数据或控制跨越域的地方：信任边界、价值流、签名者路径、API边界、管理路径、CI/CD到部署、身份提供商到云端。边是零信任分析的单元。
TRACE将权限（位于角色上，跨边行使）与授权（每次动作的权限检查）分离，并将不变式视为从资产到威胁的语义桥梁。这两个设计选择直接解决了第3节（§3.2和§3.6）的缺口。图1展示了从证据到路线图的流程。
源材料与证据 ↓ TRACE 模型 ┌─────────────┐ │ 威胁参与者 │ │ 角色 │ │ 资产 │ │ 关键不变式 │ │ 边 │ └─────────────┘ ↓ 威胁识别 (STRIDE) ↓ 攻击树 ↓ 合谋分析 ↓ 缓解路线图图1：TRACE流水线：异构证据被浓缩为五类一等公民对象的结构化模型，驱动STRIDE发掘、针对顶级威胁的攻击树、可选的合谋检查，以及缓解路线图。每个下游工件都链接回模型对象和源证据。
4.2 三大支柱
相同的核心方法应用于三个层面，调整输入材料和模型侧重点。失效经常跨层面发生，因此完整的评估需使用全部三个层面。
TRACE for 协议（设计阶段）。协议是任何管理价值、权限、访问、协调或关键行为的正式或半正式规则系统：Web3中的智能合约系统、验证者网络或治理流程；更广泛组织中的审批协议、访问策略、AI代理控制政策或财务流程。输入是指定文档、白皮书、机制和政策描述、经济模型、治理提案以及可用的代码。模型强调资产、不变式、特权协议角色、治理和审批权限、价值/权限流、外部依赖以及合谋/法定人数/委托/共识假设。产出包括设计级威胁模型、不变式地图、治理和特权角色风险分析、按组件或流的STRIDE目录、针对突出威胁的攻击树，以及相关的合谋/共识面分析。
TRACE for 系统（架构与基础设施）。输入是系统图、架构和部署文档、云账户和IAM结构、身份提供商和SaaS配置、CI/CD流、基础设施即代码、依赖项和包仓库信息，以及日志/告警/事件手册。模型强调内部、云、SaaS、供应商和公共系统之间的信任边界；构建/部署/发布权限；基础设施控制平面；特权凭证和密钥路径；前端/API/数据完整性；运营自动化；以及依赖/供应链暴露。此支柱与零信任架构[19, 7]直接结合：每个TRACE边都成为一个零信任问题。谁或什么在跨越？断言了什么身份？什么设备或工作负载？什么资源？什么动作？什么上下文改变了风险？如果源头已被攻陷会发生什么？产出包括信任边界清单、关键访问路径的零信任缺口图、CI/CD和供应链风险图，以及基础设施攻击树。
TRACE for 组织（运营安全）。输入是发现研讨会、访谈、访问审查、设备和账户清单、托管、签名和审批流程、事件响应计划、供应商和承包商关系、差旅和物理安全假设，以及观察到的团队实践。模型强调人类对资产和不变式的权限、特权个人、团体和供应商、账户恢复和访问恢复路径、审批工作流和例外路径、事件协调，以及社会/程序性失效模式。产出包括运营威胁模型、人类与流程风险登记册、托管/审批风险分析、事件就绪评估、供应商和访问风险图，以及30/60/90天运营加固路线图。
4.3 工作流与审批门
TRACE被刻意设计为顺序性的。每个阶段产生一个可评审的工件，作为下一阶段的输入，显式的人类审批门防止薄弱假设累积成威胁评级、攻击树或建议。
范围与源清单。定义评估边界和生命周期阶段；收集证据；记录假设、排除项和造成不确定性的缺失源。门禁：资深评审员批准范围和已知缺口。
摄取源材料。提取候选组件、参与者、角色、资产、不变式、依赖项、边界和流。
构建TRACE模型。构建五个对象集；记录证据和假设；任何未绑定到源的对象标记为推断假设。门禁：资深评审员在威胁展开前批准并补充模型。
STRIDE识别与评级。在组件、流、角色和边上应用STRIDE；根据对资产和不变式的影响、可行性、激励兼容性、现有缓解措施、波及半径、时间敏感性和模型置信度进行评级。门禁：评审员批准威胁集和评级。
构建攻击树。将顶级威胁从目标分解到启用条件；将每个根映射到分级威胁，将每个叶节点映射到启用假设或具体事实，并映射到候选缓解措施。门禁：攻击树在合理性和缺失分支方面获得批准。
检查合谋与协调面。在参与者组可以协调的地方（委员会、多签、验证者、供应商、操作员），检查参与者组合、法定人数/阈值假设、激励对齐、治理捕获路径，以及名义上独立各方之间的运营依赖。门禁：评审员验证哪些协调路径是可信的。
产出路线图与报告。执行摘要、模型、分级威胁、攻击树、合谋发现、缓解路线图和标记的开放性问题。门禁：建议按严重性、可行性和顺序获得批准。
5 原生的人机协作
TRACE是为人机协作而构建的，而非用于自主威胁建模。大语言模型是高效的加速器，可用于阅读大型异构源集、提取候选模型对象、检查覆盖率、提议STRIDE候选、起草攻击树分支，以及维护证据、模型对象、威胁和建议之间的可追溯性。它们在判断力最关键的地方恰恰是不可靠的：定义关键不变式、校准严重性，以及决定哪些合谋路径是可信的。
因此，该方法将AI输出视为候选分析，直到经过评审，并执行证据与可追溯性规范：
模型对象必须链接回源，或明确标记为推断。
STRIDE威胁必须链接到组件、流、角色或边。
攻击树的根必须链接到分级威胁；叶节点必须链接到启用假设或具体事实。
建议必须链接到威胁、攻击树叶节点、资产、不变式或信任边界。
任何无法追溯的主张都会被移除，改写为假设，或记录为开放性问题。第4节的顺序门禁旨在捕捉典型的AI失效模式：基于不完整源的过度自信主张、看似合理却无支撑的架构假设、通用的边界时代威胁清单、将正式权限与运营安全混为一谈、忽略人类/供应商/签名者的现实，以及结构优雅但不切实际的攻击树。AI输出绝不直接用于最终不变式定义、最终严重性评级、合谋或治理捕获结论、可利用性主张或最终建议。
6 讨论
与现有方法的关系。TRACE并不抛弃工具箱，而是重置其基点。STRIDE仍是发掘引擎（第4步），攻击树仍是深度工具（第5步），PASTA/OWASP为更广泛的风险循环提供信息。零信任[19, 7]提供了每边评估规范，拜占庭/问责共识理论[14, 5]为合谋检查提供信息。TRACE的贡献在于一套一等公民基元（不变式、承载权限的角色、边和合谋面），连同连接它们的证据关联、门控工作流，这使得旧工具能在无边界、多方控制结构上运行。
TRACE的适用场景。TRACE是一个建模层，不是实施审计、合规评估或零信任实施的替代品。它在审计前（以浮现评审员应关注的设和运营假设）、发布前（以定位风险集中点：代码、基础设施、治理、密钥管理、身份、供应商或运营）以及运营期间（随着团队、供应商和集成的演变重新审视假设）最为有用。
局限性。目前，TRACE是一种通过专业实践验证而非受控实证研究验证的方法论。相对于快速的STRIDE流程，其一等公民对象集增加了建模开销，且合谋和组织支柱依赖于对人员和流程的访问，而这些可能不可用或被歪曲。模型质量受限于源质量；推断假设机制缓解了但并未消除这一点。严重性评级虽然锚定于不变式，但仍依赖于专家判断，且在不同分析师间不能完全复现。人机规范减少了但不能完全排除评审门处的自动化偏见。
未来工作。三个方向随之而来。首先，实证评估：分析师之间对不变式和评级的一致性，以及TRACE与仅使用STRIDE的基线在覆盖已授权路径和合谋威胁方面的比较。其次，形式化：用机器可检查的模式表达不变式和边，以便自动验证可追溯性约束。第三，与问责共识和机制设计结果更紧密结合，以便能够定量而非定性地推理合谋阈值。
7 结论
现有的威胁建模框架在其设计初衷的假设内仍然有价值：即存在边界、单一所属组织，且授权等同于安全。分布式、云优先的组织不满足其中任何一项。此类环境中的主导性失效（已授权参与者行事有害、名义上独立各方合谋、控制平面和供应链被攻陷、高价值操作运营处置不当）恰处于既有方法的结构性盲区。TRACE通过以下方式解决这些问题：将威胁参与者、角色、资产、关键不变式和边提升为证据关联的一等公民对象；将权限与授权分离；将不变式作为评级锚点；在一个模型中涵盖协议、系统和组织；并嵌入一门控的人机工作流，在加速覆盖的同时不让渡判断权。该框架源于Web3安全实践（这些压力最为集中），但其解决的问题现已具有普遍性。方法规范依据CC BY 4.0开放发布。
