用途：在侦察已产出发现、资产与归属/证明标注后，把结果量化为可辩护的 0-100 与 A-F 组织风险评分、美元损失区间、按可利用性排序的攻击路径链，以及董事会/高管一页纸。它不做新侦察，不发起网络请求，是纯计算层。
主要能力：三因子模型 risk = likelihood × Impact × 100，likelihood = combine(Exposure, Threat)，combine(w)=1-Π(1-w_i)。Exposure 按严重度加权求和后饱和（K=25），并有已归属且已证明的 critical 下限 0.5；Threat 由已证明利用、CISA KEV、EPSS、在售、泄露凭据、勒索/对手言论、攻击路径链≥85 等信号加权合并；Impact 取已归属资产中最坏情况价值。评分映射 A≤20、B≤40、C≤60、D≤80、F>80。损失模型按泄露凭据记录数乘每记录成本带（默认 low 150 / expected 165 / high 200 美元，IBM/Ponemon），跨来源取最大值而非求和，可给年化 ALE。输出 OrgRisk、LossEstimate、BoardSummary 三个 dataclass。
使用方式：对已有 findings + assets 运行 reporting 下 risk_score、loss_model、board_report、board_render、attack_paths、attack_graph、owner_confidence、proof 等模块；每个数字须附 basis 与 narrative。
限制：输出仅与输入同质量；TENTATIVE 或弱归属发现需先经归属+证明降级上限处理；共址图路径只是爆炸半径，不是已证攻击链；记录数为 0 时不得编造美元数字；不同目标间不可比绝对分数；模型是校准启发式，非事实断言。授权姿态继承采集环节，自身不新增。