该论文研究了 AI 编排平台（如 n8n 一类的工作流自动化/编排产品）中用于保护用户自定义表达式的沙箱机制，并提出了一个核心论断：这类沙箱本质上是“怪异机器（weird machine）”——其指令集并非设计者所设想的受限子集，而是底层语言规范的完整语义空间。当前业界普遍采用的“枚举加阻断（enumerate and block）”思路，即通过 AST 重写、运行时属性黑名单、模板沙箱环境等方式穷举危险操作并逐一封堵，作者认为在结构上是不可修复的，其演进轨迹与历史上 Java SecurityManager、vm2 等沙箱技术最终被弃用的情况一致。为验证该论断，作者针对 n8n 的表达式沙箱开展了三轮逐级升级的绕过研究，累计产出三个 CVE，其中两个 CVSS 评分为 9.4，并包含一个无需认证即可利用的漏洞，论文同时将这些发现归纳为编排产品类别中普遍存在的沙箱失效模式。作者进一步提出“信任洗白（trust laundering）”模式：编排流水线与上层应用会在多层转换中逐步剥离输入的污点标记，使原本由攻击者控制的外部输入最终获得完整凭据与权限。此外，论文指出 AI 辅助的枚举能力会显著加快此类覆盖缺口的发现速度，从而压缩沙箱从部署到被攻破之间的时间窗口。在防御侧，论文贡献了一套 AST 覆盖分析方法论、配套的开源工具，以及一份防御手册，其中将“策略反转”（以允许列表取代黑名单）作为结构性缓解措施。论文适合应用安全工程师、编排/自动化平台开发者、SOC 检测工程师以及对 AI 代理与工作流安全感兴趣的研究者阅读。