该论文研究了 AI 编排平台（如 n8n 一类的工作流自动化/编排产品）中用于保护用户自定义表达式的沙箱机制，并提出了一个核心论断：这类沙箱本质上是“怪异机器（weird machine）”——其指令集并非设计者所设想的受限子集，而是底层语言规范的完整语义空间。当前业界普遍采用的“枚举加阻断（enumerate and block）”思路，即通过 AST 重写、运行时属性黑名单、模板沙箱环境等方式穷举危险操作并逐一封堵，作者认为在结构上是不可修复的，其演进轨迹与历史上 Java SecurityManager、vm2 等沙箱技术最终被弃用的情况一致。为验证该论断，作者针对 n8n 的表达式沙箱开展了三轮逐级升级的绕过研究，累计产出三个 CVE，其中两个 CVSS 评分为 9.4，并包含一个无需认证即可利用的漏洞，论文同时将这些发现归纳为编排产品类别中普遍存在的沙箱失效模式。作者进一步提出“信任洗白（trust laundering）”模式：编排流水线与上层应用会在多层转换中逐步剥离输入的污点标记，使原本由攻击者控制的外部输入最终获得完整凭据与权限。此外，论文指出 AI 辅助的枚举能力会显著加快此类覆盖缺口的发现速度，从而压缩沙箱从部署到被攻破之间的时间窗口。在防御侧，论文贡献了一套 AST 覆盖分析方法论、配套的开源工具，以及一份防御手册，其中将“策略反转”（以允许列表取代黑名单）作为结构性缓解措施。论文适合应用安全工程师、编排/自动化平台开发者、SOC 检测工程师以及对 AI 代理与工作流安全感兴趣的研究者阅读。

该论文研究了自动化平台（如GitHub Actions和n8n）中集成的大语言模型（LLM）智能代理工作流的安全风险。随着这些平台越来越多地采用所谓的“代理工作流”（agentic workflows），即让LLM代理执行代码审查、数据同步等任务，攻击者可能通过控制某些输入（例如GitHub issue评论）来操纵LLM代理执行未授权的操作，如凭据泄露和任意命令执行。据作者所知，此前没有学术工作系统性地研究过此类风险。为此，论文提出了首个检测与利用框架JAW，通过一种名为“上下文基础演化”（Context-Grounded Evolution）的新方法来劫持自动化平台上的代理工作流。核心思想是：在混合程序分析派生的上下文基础上，演化代理工作流的输入以实现劫持。具体地，JAW通过三种分析生成代理工作流上下文：（i）静态路径可行性分析，识别可行的代理调用路径以及触发这些路径所需的输入约束；（ii）动态提示来源分析，确定输入如何被转换并嵌入到LLM上下文中；（iii）能力分析，识别代理在运行时可执行的操作和限制。在GitHub工作流和n8n模板上的评估显示，有4,714个GitHub工作流和8个n8n模板可被成功劫持，例如用于泄露用户凭据。影响范围涵盖15个广泛使用的GitHub Actions（包括Claude Code、Gemini CLI、Qwen CLI和Cursor CLI的官方GitHub Actions）以及两个官方n8n节点。作者已向受影响厂商负责任地披露了所有发现，并获得了多次确认、修复和漏洞奖励，包括来自GitHub、Google和Anthropic的反馈。该研究为防御者理解此类新型攻击面提供了重要参考。