AI 自动化逆向（二十六）「已解出」和「已解析」是两回事
本文是「AI 自动化逆向」系列第 26 篇。上一篇：数据表格式：一个恒等式覆盖 99% 的表；下一篇预告：一个地图格式族的三角关系。
前言
前一篇的数据表"结构证明 + 语义推断"，读起来都是好消息。这一篇泼一盆冷水------解包（把打包的容器解开）成功的那个下午，才是真正的问题开始的时候：
容器敲开了，九万多个文件躺在磁盘上。它们各自是什么状态？
"已解出"是容器层 的胜利；"已解析"是格式层 的进度。两者之间，隔着一整个普查。
（同前几篇：文中"AI"指执行分析的模型，"我"指设定目标、审结果的人；内容均已脱敏。）
一、坑的形状："大丰收"带来的假收官
解包成功的现场非常有欺骗性：文件数量巨大、目录结构整齐、每个文件都有名字------看起来"这活干完了"。
但此刻其实有三个关键未知：
- 哪些是明文或标准格式（现成工具就能读）；
- 哪些是专有二进制（要逐个逆结构）；
- 最要命的：有没有第二层加密------如果"解出来的产物"内部还藏着另一层加密，那么后面所有格式解析都建在沙子上。
而"人工挨个看"在几万文件的量级上不是方案。这类问题只有一个解：全量、自动、可复算的普查。
二、过程：一次全量普查
第一步：给每个文件量三个数
每个产物只读头部几 KB ------足够定性------记三个纯测量，不需要"理解"文件：
- 魔数：前 16 字节，原样记录；
- 可打印字符比例：过一条经验线，就判"疑似文本"；
- 香农熵：过一条高线，就判"高信息量"（压缩或加密的候选）。
为什么是这三个：它们把"是什么"这个需要理解的问题，降级成三个可以批量计算的数 。理解留到下一步，普查只负责摆放事实。
第二步：分档 + 一致性校验
按两个维度汇总：按扩展名 的分组、按魔数的分组------两个视角交叉，单独一个维度会骗人（扩展名可以标错，魔数可以缺失）。
然后把全部产物分成三档：明文/标准格式 / 专有二进制 / 标准归档 。分档本身不稀奇，稀奇的是它的验收动作：
各档相加，必须等于总数。 一个不能多，一个不能少。
普查自己也要有分母纪律------"约等于九万多"这种话在这里是不允许出现的。
第三步：熵排查------把"有没有第二层加密"变成计数题
普查里最"贵"的问题是第 3 条。它的判定逻辑被写得很干净：
- 先定义加密会长什么样 ：高熵、而且没有任何已知结构；
- 再去全量里数：高熵的文件有几个？------答案：只有一个 ，而且那个文件带着标准压缩包的签名，本来就该是高熵；
- 结论："高熵且无已知魔数的孤立文件：零个 " → 不存在第二层加密。不是"感觉没有"，是一个可以复核的计数。
顺带一条反向警惕也留在案上：低熵不等于加密 ------普查里有一个体积可观、熵却极低的稀疏网格文件（大片空白），它是稀疏，不是加密。两个方向的误读都要防：高熵的不一定是加密，低熵的更不能是。
第四步：修正旧文档、重排剩余工作
普查顺手打了一记脸：旧清单把某类文件（正是第 24 篇那批"纯文本特效"）列为"二进制、待解析"------普查一量，可读性 95%，纯文本。一份几万文件的普查，就这样把"文档的腐败"一次性冷藏了。
而最大的产出是这一句：
剩余的工作是"专有二进制解析"，不是"解密"。
一句话，把剩下的活从"迷雾"变成了"清单"------不用再找密钥、不用再找加密层，只需要逐个读格式 。普查交付的不是统计，是地图。
三、判据与验证：四条
1. "解出"之后立刻普查。 全量、自动、可复算------四位数以上的产物，"人工巡检"不是方案；而且必须能重跑（第 18 篇的纪律：跑得动的普查才有人跑）。
2. 分档的验收是 SUM。 各档之和 == 总数------普查的分母纪律，也顺带证明没有文件被静默跳过。
3. 第二层加密用"排除法 + 定量"回答。 先定义目标的形态（高熵+无结构），再全量计数，把答案交给"孤儿文件的数量"：零个孤儿，就是"没有"。别用"感觉解干净了"当结论。
4. 普查的产出是"工作重定义"。 好的普查结束时，"剩下多少活、哪些先做"变成一张可排序的清单------这是普查区别于统计的地方。
四、结论
"已解出"和"已解析"之间，隔着一整个普查------大丰收之后的第一件事，不是庆祝，也不是开工，是点数。
而点数的方式很统一：让每个产物自己报出"我是什么形态"（三个可批量计算的数就够了），然后让各档相加等于总数。
普查不是统计，是地图。有了地图，才知道剩下的是翻山还是过河。
五、边界声明
- 本文只讨论AI 自动化逆向中的判据设计与审核方法，不涉及任何具体产品、厂商或服务的分析结论。
- 文中所有地址、偏移、常量、字段名一律为占位符或示意值 ，
不代表任何真实目标中的取值；示例代码为说明判据而编写，不构成可运行的针对特定目标的工具。 - 文中提到的比例与数字均来自作者项目内的测量记录，仅用于说明方法失效的方式。
- 请勿将本文内容用于未授权的用途。
六、收尾
卷四的格式战役到这里基本收官。下一篇收一个容易混 的尾：地图相关的三个格式------缩略图、可行走网格、地表网格------它们长得像亲戚，但是三个东西；把它们混成一个，是这个领域里流传最广的错。
下一篇计划聊：一个地图格式族的三角关系。
转载请注明出处：