5.1. 数学的定式化
新しい累積パスワード強度（CPS）メトリクスは、個々のメトリクスからの正規化されたスコアの加重集約として概念化される。抜粋では正確な式は完全には詳細化されていないが、以下のように推測できる：
$CPS = 1 - \frac{1}{N} \sum_{i=1}^{N} w_i \cdot S_i$
ここで：
- $N$は基本メトリクスの数（例：CUPP、LEET、COVERAGE、FORCE）。
- $S_i$はメトリクス$i$の正規化されたスコア（多くの場合、1は高いリスク/脆弱性を示す）。
- $w_i$はメトリクス$i$に割り当てられた重みで、$\sum w_i = 1$。
CPSスコアが1に近いほど、より強力なパスワードを示す。LEETメトリクス自体もモデル化できる。$L$をLEET変換のセット（例：{'a': ['@','4'], 'e': ['3']...}）、$P$をパスワードとすると、LEET変換の度合い$\ell$は以下のようになる：
$\ell(P) = \frac{\text{パスワードPに適用されたLEET置換文字数}}{\text{パスワードPの長さ}}$
高い$\ell(P)$は、パスワードが辞書単語の単純な難読化である可能性を示唆する。
5.2. 分析フレームワークの例
ケーススタディ：「GeorgeCali1023」の評価
入力：
- パスワード：「GeorgeCali1023」
- 再構築されたプロフィール： {名前: "George", 姓: "Smith", 学歴: "University of California", 生年月日: "1994-01-23", 都市: "Cagliari"}
フレームワークの適用：
- CUPP：「George」、「Smith」、「California」、「Cal」をチェック。「Cali」はCaliforniaの一般的な略語に直接一致。スコア：高リスク（例：0.8）。
- LEET：文字置換なし（a→@、i→1など）。スコア：低変換（例：0.1）。
- COVERAGE：トークン「George」と「Cali」（Californiaから）はプロフィールから直接。 「1023」は誕生月/日（1月23日→1/23）から導出された可能性がある。高いカバレッジ。スコア：高リスク（例：0.9）。
- FORCE：長さは13、大文字/小文字/数字の混合。構文のみに基づくエントロピーは合理的に高い。スコア：中程度の強度（例：リスク0.4）。
- LLM意味的評価：プロンプト：「George Smithという名前で、University of Californiaに通い、1994年1月23日に生まれたユーザーにとって、パスワード『GeorgeCali1023』はどのくらい強いですか？」 LLM出力：「弱い。ユーザーの名前、大学の略称、そしておそらく誕生月と日を直接使用している。公開データから容易に推測可能。」
結論：従来のエントロピー（FORCE）は中程度の強度を示唆するが、文脈的メトリクス（CUPP、COVERAGE）とLLM評価は、公開個人データとの高い意味的相関性のために、このパスワードを致命的に弱いとフラグを立てる。これは本論文の核心的な主張を例示している。
