用途：在目标不存在单点高危 RCE 时，将各类信息级、低危漏洞抽象为能力原语，通过状态空间搜索拼出可执行代码的完整链路，适用于漏洞链构造与低危漏洞组合利用。
核心思路：把每个 Fact 抽象为能力，如 read(path)、write(path)、exec(cmd)、ssrf(url)、sqli、redirect、eval_expr、idor、cred(svc,priv)、coerce_auth、write_acl；RCE 是这些原语凑齐后的涌现结果。
RCE 六类等式：A 能写文件且文件被当代码执行；B 能控配置/env 且配置指向自己的代码；C 进入管理面且面板自带执行功能；D 有凭据且服务有合法执行入口；E 能任意读并读到凭据且凭据可登录执行点；F 能控数据且数据流入危险 sink（eval/模板/SQL）。
低危到原语的映射：信息泄露、LFI、SSRF、弱/默认/复用凭据、CORS/CSRF/XSS、可控上传、配置写入、SQLi、模板注入、原型污染等，分别对应到 A–F 等式所需碎片。
搜索方式：状态为当前能力集，动作为用能力解锁新能力，目标为执行命令。正向对每个能力问能解锁什么、对能力对问组合出什么；反向从 Goal 选最接近的等式当模板，把缺失原语设为子目标，递归拆解，正反向中间相遇即完整链。
突破口包括功能即原语（任务计划、插件、模板编辑、SQL 控制台、文件管理器、导入导出、webhook）、跨协议跳跃（gopher/dict/file）、凭据复用、解析差异、时间维度（TOCTOU、token 可预测、缓存投毒）、跨域兑现、创造模式（重审边界、找等价 sink、信息侧信道、假设取反）。
使用限制：推导出的链仅为假设，可 tentative 记录，须实际执行并取得证据后才写为 confirmed Fact 或 record_vulnerability；整条链每步都需验证。仅适用于获得授权的渗透测试。价格、平台与具体工具版本暂未提供。