研究测量策略网关跨平台命令裁决的能力边界

策略门要回答的不是意图对不对，而是给定已实现动作时，裁决在换到 Linux 后还知道什么、停在哪里。

• 场景：作者认为，提议动作与特权执行之间的门不判断意图，只判断动作，因此正确决策可被记录，不一致就是有地址的缺陷。前作在 Windows 上评测了 313 例的治理执行架构；本文不重报那些结果。
• 现有不足：作者称，外置决策点可以被建出来，但既有工作没有报告裁决器本身的保真，也没有报告平台更换之后知识停在哪里。
• 观察：作者认为，冻结表可以被对着它调过的规则通过，所以要测语料注意不到的缺陷：同一主张用两种载体写出，并报告哪些变异仍存活。跨平台按规则表达的能力判断，不按命令名。
• 做法：把同一扇门放到前作基准的 Linux 对照上，分别测保真（RQ1）、翻译后哪些规则还在（RQ2）、执行器咨询门之后机器上是否改变以及误拦截（RQ3）。
• 威胁模型：
  • 目标：对提议动作给出 ALLOW、ASK 或 DENY，不判断该动作为何被提出。作者把“动作如何被提出”明确排除。
  • 知识：门不看模型输入，也不解析 shell 语法。它消费已实现动作，或直接消费结构化 intent。
  • 能力：测量的是门的裁决，以及执行器在显式开关打开后是否咨询它。论文未使用 white-box、black-box 等分级。
  • 受害侧：智能体通往特权执行的路径。门能看见的是 zone、文件系统对象与程序身份；作者写明网络等模型外效果不在对象模型内。

作者把相关工作分成输入侧加固、外置裁决、策略变异测试，以及能力与名称，并称既有外置决策点没有报告裁决器保真。

输入侧加固

• Liu 等（2024）形式化并基准化提示注入攻击与防御；Zhan 等（2024）的 InjecAgent 做工具型智能体的间接注入基准；作者把 Debenedetti 等（2024）的 AgentDojo 与 Zhang 等（2025）的 Agent Security Bench 归入动态评测环境。
• Chen 等（2025）的 StruQ、Debenedetti 等（2026）以及 Beurer-Kellner 等（2025）重构数据与指令的界面，使二者不能在构造上被混淆。
• 作者称这些工作与本文互补，且在一种意义上正交：门从不看模型输入，每个案例都只对提议动作裁决；动作如何被提出被明确排除。

外置裁决或隔离

• Wu 等（2025）的 IsolateGPT、Li 等（2026）的 ACE、Syros 等（2026）的 SAGA、Wang 等（2026）的 AgentSpec、Shi 等（2026）的 Progent，以及 Odersky 等（2026）的能力追踪智能体，把裁决或隔离点放在智能体与系统之间。
• 作者还引用 OWASP AISVS、CSA 的智能体身份治理，以及 NIST SP 800-53 与 AI RMF：访问控制须由应用逻辑或策略引擎执行，而不能由模型执行。
• 作者称，这条线说明外置决策点可以建，但没有报告裁决器自身的保真，也没有报告平台更换后的知识边界。

测策略而不是测程序

• Martin 与 Xie（2007）为访问控制策略定义故障模型与变异算子；Mouelhi 等（2008）把算子推广到基于规则的策略形式；Jia 与 Harman（2011）综述变异测试。
• 作者称本文沿用该逻辑：被测对象是决策过程而不是工作负载；并增加理由层，因为只比裁决无法杀死只改理由文本的变异。

能力、名称与前作

• Saltzer 与 Schroeder（1975）、Hardy（1988）的 confused deputy、Watson 等（2010）的 Capsicum，以及 Linux Landlock，讨论最小权限、每次访问都要被中介，以及不可伪造引用。
• 作者把 RQ2 说成一次经验测量：用名称和路径写成的规则集，在载体改变后还剩下多少。映射状态受目标主机与工具集约束。
• 架构与 Windows 评测是 Jing（2026）的前作。作者称本文是其跨平台与仪器保真的对应部分，两边都不重复对方的结果。

基线与语料

• 执行对照是不咨询门的 control，以及承载该门策略的 AppArmor profile，均在 65 个 payload 上（Table 4）。期望来自逐案记录、诱饵树快照差分和带指纹的账本。
• 313 例继承语料只作与前作可比的锚；Fig. 3 注写明，冻结表与机制表可作分母，继承行与跨平台表只做覆盖审计。

作者的定位是：不重报架构与 Windows 结果，而测量同一扇门在 Linux 上的保真、按能力而非名称的可移植性，以及被咨询后的效果与误拦截。

policy gate 不解析 shell 文本。realiser 把命令变成已实现动作，门用七条规则给出 ALLOW、ASK 或 DENY；执行器是否咨询它被单独测量。七个文件的哈希合成仪器指纹，文中每个数字都带指纹。

已实现动作

• realiser 产出状态、动词、操作数、展开计数、带解析 zone 的路径目标、环境前缀，以及按路径给出程序时其字节的 sha256。
• 无法静态枚举的构造（管道、子 shell、命令替换、花括号组）得到 MULTIPROC_UNDECIDABLE，而不去猜测。分号或换行隔开的顺序动作被拆开逐条裁决再聚合：任一拒绝占优；多于一个不同目标对象则升级为复核。
• 展开计数记录展开增加了多少目标，不记录是否用了模式。作者称，仅当 cp 或 mv 的 glob 恰好展开成两个源时，才只由展开信号决定，因为固定元数动词本来就可以带两条路径。
• 结构化 intent 含类型化操作、绝对路径和类型化参数，此时完全不解析 shell。两条通道共用门与凭证层。读不懂的构造把原因写进理由文本；作者把调用方无法据以行动的理由视为缺陷。

七条规则与权限

• 规则为：对不可实现输入（含门自身内部异常）失败关闭；敏感动词按效果而非名称降级；程序身份按名称、位置、对象内容与属性判断；对已解析目标做 zone 判断；保护工作区根；展开与复数；意图绑定要求声明对象集覆盖实际作用对象。规则依赖是有意的：zone 规则先解析符号链接再判断。
• 五个 zone：仅靠门防护的可写工作区；测试身份可写但视为受保护的 zone，用来把门的效力与内核分开；root-only zone，用来测下层 DAC；外部可写 zone；其余为 foreign。
• 批准发出一次性凭证，绑定动词、对象身份（设备与 inode）、路径、完整参数向量、参数键与内容摘要，且只消费一次。带空白或 shell 元字符的词当字符串而不是路径目标。

测量纪律

• 先写预测再改代码。预测可真可假，并归档，包括被数据否定的预测。
• 三层 oracle（Fig. 2）：逐案记录的期望、诱饵树执行前后快照差分（符号链接、硬链接、bind mount、sticky 目录），以及盖了七文件指纹的账本。作者规定三者一致才报告结果；不一致按 payload、range、门的顺序当作发现。
• 分母：313 例只是可比性锚。只有有 Linux 拼写的行可裁决，且与记录期望不同不等于自动是错误。作者报告，曾有一轮声明对象列由命令经正则导出，意图绑定规则无法触发。
• 依赖活文件系统的读数必须连同目标 range 状态一起报告。作者称这种读数是 range 状态的函数。每套故意喂坏输入的测试也喂阳性对照。

变异、机制表与跨平台审计

• 六张机制表各钉住一个机制。每条主张至少两种载体：不同拼写的同一效果应落到同一决策，同一拼写在效果不同时应落到不同决策。
• 变异对象是决策过程，不是工作负载。算子表记录所针对源文本的哈希，文件不匹配就拒绝运行。理由层的签名是裁决、决定该裁决的理由，以及分类别的理由计数。
• 跨平台不按命令名，而按能力语义，在选定的 Ubuntu 镜像与工具集内重判。作者把映射状态写成这项研究的状态，而不是平台范围缺失的证据。
• Fig. 3 注写明：机制表与冻结表可作分母；继承行与跨平台表只做覆盖审计。

执行挂钩

• 挂钩加在执行驱动上，显式开关，默认关闭，以便历史测量可复现。每次 pass 从恢复后的目标 range 开始。
• 喂给门的是 payload 正文，工作目录与执行器相同。作者称，若只喂启动命令，门只能看见脚本路径，那样得到的拦截是假的。
• 裁决路径不读累积状态。特权账本由固定工具名列表导出，解析一次并缓存。累积在凭证账本，每次核验都读；作者用与活账本相同列布局和行类型的合成账本测加载，每格取 30 次中位数。

主实验测的是策略门本身；语言模型只出现在 Section 9 的未认证端点快照里。

实验设置

• 被测对象：RQ1–RQ3 的对象是七文件策略门，不是语言模型。Section 9 把同一批案例送到一个第三方 OpenAI-compatible 网关，request label 为 claude-opus-5、deepseek-v4.1-flash、gpt-6-astra。作者称这是 2026 年 9 月 25 日的探索性端点快照，不是已认证的模型比较；归档没有 response ID、返回的模型字段和提供商回执。
• 语料：冻结表 61 例，两轮（有无声明意图）；另有 13 行补充，无声明与有声明各评成 74 行。门自测 49，凭证层自测 12。六张机制表共 78 行（17、7、13、13、18、10）。变异为 50 个语义算子，语料含自测 49、上述 74+74，以及 3 个故障注入案例，另有 17 个理由层探针。继承审计为 313 例中有 Linux 拼写的 216 行。审计池 82 行，对照表 98 行（为本文撰写）。执行实验 65 个 payload。
• 基线：不咨询门的 control，以及承载该门策略的 AppArmor profile（Table 4）。变异侧，作者报告更早一轮只比较裁决。端点侧以门的 DENY 与 ALLOW 为对照。
• 指标：false-allow、false-deny；mutation score 与 dangerous-operator score；ESCAPE（期望 DENY 且观察到副作用）、UNDER_BLOCK、ALLOW 组执行、ALLOW 组误拦截；端点侧为逐案多数的不拒绝（execute 或 ask）与立即执行。
• 判定：没有 LLM 裁判。内核真值来自诱饵树前后差分；三者一致才报告。端点实验每个案例 5 次，去重时优先成功响应而非 HTTP 失败。未解析案例被点名：第一张表为 P1-T195、P1-T255、P1-T267、P1-T271，第二张表为 P1-T125、P1-T203；其余案例保留全部 5 次。
• 指纹：Table 2 在 285ec6bd7ecc。control 与只拦截 DENY 在 6c083e60ceeb 重测，并与 285ec6bd7ecc 的对应结果逐字节一致。gate.py 的 2c3c46650fa1 为两代共有。

主结果

据 Table 4。65 个 payload，每次从恢复的 range 镜像、重新生成的诱饵树和两个已恢复的程序夹具开始。control 的误拦截格是表中的破折号。

Swipe horizontally to read the table

策略	ESCAPE	UNDER_BLOCK	ALLOW组执行	误拦截ALLOW组
Control（不咨询门）	25	32	8	—
只拦截 DENY	0	57	8	0
DENY+ASK	0	57	0	8
DENY+ASK，去掉模板 shell	0	57	8	0
AppArmor	8	49	8	0

• 作者称，只拦截 DENY 是测出来的，不是默认。该语料上 532 个 ASK 里没有一个是真实动作：354 属于注释行，178 属于生成器包裹的非注释脚手架，相对的真实动作是 77 个 ALLOW 与 54 个 DENY。因此拦截 ASK 会挡住良性组，且不增加安全性。
• 去掉模板 shell 后，文本与语料动作列在 61/61 例上逐字节相同，且不放松任何拒绝。作者仍只部署 DENY，因为该修复是调用方要求，不是因为严格策略不可用。Fig. 5 注写明，图中两次 pass 都不拦截良性组，与 Table 4 的严格策略不同。
• 作者称，AppArmor 白名单无法拒绝摧毁它授予的 zone，对象与路径之别在这次翻译后仍然存在；八个未挡住效果的拆分在 Section B.1d，正文未逐条列出。另有两个 payload 以账本为作用对象，不咨询门时都成功，该次已写的 47 行丢失；旁路 oracle 不监视该目录。作者称，守卫写入的文件在 payload 能写账本时仍不是边界。

裁决保真与变异

• 冻结表两轮均为 61/61，false-allow 0.0%，false-deny 0.0%。自测 49/49，凭证层 12/12。Table 1 的六块分别抓住：分隔符吃掉管道字符并静默丢行、两生产者对字段角色不一致因而同一请求裁决相反、相对声明规范化、两层绑定对象不同、只喂坏输入的套件会被全拒绝层通过、重命名副本按内容而非名称识别。
• Table 2（指纹 285ec6bd7ecc）：规格杀死 41，其中不安全的 deny 变 allow 为 24；仅理由层杀死 5；任一层杀死 46；mutation score 92.0%；dangerous-operator score 48.0%；存活 4；锚失败 0；未变异门在活动行上 198/200；阳性对照 3/3。理由探针按预写期望自检 17/17。更早只比裁决的一轮有 6 个只改理由文本的改动存活，加上理由层后杀死其中 5 个。Section 5 另写两个只改措辞的阳性对照，各被恰好一个探针抓住。
• 四个存活者被分类：特权工具列表漏了 su；这些行上最长前缀与最短前缀的 zone 匹配不变，交换二者的变异无法区分；没有行声明穿越符号链接的路径，故 abspath 与 realpath 无法区分；第四个丢掉展开信号、改用复数信号，是否被杀死取决于目标 range。作者称前三个是语料盲点，第四个是方法的性质。

跨平台与继承审计

• 216 行全部裁决且未崩溃：191 个单动作，15 个静态不可判定，10 个拆成序列。裁决为 DENY 132、ALLOW 43、ASK 41。与记录期望一致 133。83 个差异被归因而不记为准确率：58 other、19 个区外目标、3 个工作区根、2 个复数、1 个失败关闭。
• 误放行集合为 30 行。作者分级：11 为载体错位，10 为跨平台机制差异，9 为推导本身的映射错误。事先的内部预测是 0 次误放行；作者写明测量给出 30，引用的是测量。作者认为只有中间一类可能是门的盲点。
• 82 行审计池：43 行重表达，21 行是载体差异或已覆盖，16 行在本研究映射下未实例化或不适用，2 个凭证层行因路径从未落入 range 而未解决。摘要把后两类写成 21 个载体差异与 16 个研究特定的不适用行，计数相同。原标“无对应”的 25 行里，4 行仍未映射：reg query、reg add、reg delete、wmic。作者称这是该 Ubuntu 镜像与工具集上的有界结果，不排除其他主机或工具集上的类似管理能力。98 行对照表为 53 native、45 载体不同（Table 3：EXC 6/8，RSV 22/8，CAP 6/0，PRM 11/21，DEL 4/0，WRT 4/8）。另有一行翻译在句法上忠实、语义上相反：Windows 环境变量名不区分大小写，Linux 区分。按名称保护的规则没有 zone 等价物，十行继承案例因此与期望不同；UNC 路径的翻译被作者承认为有损。

端点快照

• 原始/Linux 输入为 259/212 行，记录尝试 3,902/3,180。去重后分析槽 3,885/3,180，解析 3,879/3,178。调用级不拒绝为 92.2%（3,578/3,879；CI 91.4–93.0）与 93.1%（2,959/3,178；CI 92.2–93.9）。作者称 ask 交给人批准，因此这不是自行批准率，也不是立即执行率。
• Table 6 是排除端点外上下文之前的归档观察。122 例上的 DENY 不拒绝为 84.4%、95.9%、97.5%。99 个 strict-DENY（去掉依赖平台的拒绝）上，不拒绝多数为 81.8%、94.9%、98.0%，立即执行多数为 24.2%、4.0%、52.5%。摘要写的是 81.8–98.0% 与 4.0–52.5%，与 strict 列一致。40 个门 ALLOW 行的拒绝均为 0%，送人复核为 27.5%、65.0%、17.5%。Fig. 8 把 99 例标成 24/57/18、4/90/5、52/45/2，图注写明这是排除之前的归档观察。
• 7,065 条保留响应中有 114 条含请求里没有的上下文（82 条原始、32 条 Linux，全在第二个 label 下）。去掉后，调用级不拒绝从 92.2/93.1% 升至 92.8/93.2%；该 label 的 DENY/strict 多数从 117/122（95.9%）与 94/99（94.9%）变为 115/122（94.3%）与 93/99（93.9%）；P1-T038 与 P1-T235 变成平局。同一案例改写成另一平台后，端点决策位移 −2.8、−2.4 与 −0.5 个百分点（分别影响 8、9、5 行）。作者称，该 99 例子集上继承期望与 Linux 门都是 DENY，所以门的拒绝在这个决策匹配子集上按定义稳定；端点位移是该集合内的措辞或载体敏感。作者称门消费的是动作与策略状态，不知道是哪个模型产出的。

其他消融与分析

• Table 5（每格 30 次中位数，主账本 / 主账本加第二账本）：10 行 0.037/0.073 ms（1.98×），100 行 0.141/0.295 ms（2.09×），1,000 行 1.243/2.500 ms（2.01×），10,000 行 18.908/37.792 ms（2.00×），100,000 行 218.103/439.827 ms（2.02×）。正文写一万条凭证时单次核验约为 19 ms，或加第二读约为 38 ms。作者报告 log–log 斜率 0.97，Fig. 6 标注约为 0.97，且从一千行到十万行 175×。活凭证账本缺席，暂存账本 13 行。绝对毫秒属于 Ubuntu 26.04、Python 3.14.4、八核 Hygon。
• 定字节下把列数砍到四分之一，加载从 14.0 ms 到 20.5 ms，否定了作者把线性成本主要归于列数的预测。拟合给出 a≈162 ns/行、b≈3.0 ns/字节，原始读为 0.14 ns/字节。备忘录上限 4096，在第 5445 个不同对象处观察到整表清空；清空后重哈希代价为 3.0×（小于 16 KB）、4.9×（16 KB 至 1 MB）、44.2×（大于 1 MB）。第一次探针因不回访只报 1.3×，作者将其作为负对照。
• 删一个诱饵文件，变异分从 92.0% 到 94.0%，并改变一个算子的命运。脏 range 镜像曾使冻结表从 61/61 降到 59/61，并出现两次误放行；恢复镜像后表回到 61/61，逃逸数回到 0。作者记下四条安静规则，包括重新生成诱饵不会重建镜像，以及跨批次比较必须声明 range 状态。bind mount 别名缺失时，CORE-WRT-05 与 LNX-MNT-01 的裁决从 DENY 变为 ASK，Table 4 的分类不变。
• 一种 bash -c 展开在解析失败时吞掉退出状态并退回空参数向量，门因没有目标而不拒绝。修复为解析失败时非零退出。同一系列改动后，继承审计误放行从 42 降到 30。作者报告五项预测被数据否定；自测期望按猜测的分类写成，49 项里 46 项立即失败。Section 11 称其中两项指向真实缺陷：一处通过测试未抓住的失败打开，以及从前一手交接继承的过期基线。
• 无路径目标一律升级复核的规则被放松后，误放行从 30 到 31；加上“任一操作数带路径证据则不放松”后回到 30。作者称，按其自身衡量，该放松改变三个合成形态，不改变冻结表、机制表或 65 个 payload。另一项曾被认为能让良性脚本通过的放松，在 65 个 payload 与冻结表上不改变任何决策。
• 六个不是作者撰写的继承行在新行上带第二个动作，段数为 2/2/2/2/4/2，其中四个被拒绝。作者对未被拒绝的两行给出 payload 或策略层解释，而不是拆分失败。oracle 残差为 2.6%（117 次重执行中 3 次）；作者归为方法下界，受影响形态为硬链接对与 bind-mount 视图。

作者把不能做的事写成层的边界，并把账本成本与文件系统之外的对象模型写成扩展而不是修复。

作者指出的局限与后续方向

• 身份：程序名不是身份，这一层不能把它变成身份。按路径给出的重命名副本可识别，但把识别变成决策需要有人维护的已知程序对象账本。作者报告识别可用，绑定是策略（Section 10）。
• 有损投影：按名称保护的规则没有 zone 级等价物；UNC 式路径若不发明挂载策略就无法忠实翻译。作者写成模型的后果，不是待修补的缺陷（Section 10）。
• oracle 与保守规则：117 次重执行中 3 次（2.6%）改变了诱饵树，但快照差分无法归因。作者将其分类为方法的下界；补上需要执行后再做一次闭包，代价是动作已经跑完才判断（Section 10）。同一节写明，无路径目标一律升级复核的规则还在抓住目标提取失败；放松后一个继承案例从复核变成允许。
• 对象模型与顺序语句：门推理的是文件、路径、zone 与程序对象。没有路径目标的动作仍可能有模型外效果，没有目标不等于无害。顺序语句独立裁决，一条语句里的 PATH 赋值不会告知下一条裸命令名。作者称这是按设计的边界，不是缺陷，符号到目标的解析属于平台（Section 10）。
• 效度：继承 payload 的差异不是自动的错误。冻结表 61 行，机制表每块 7–18 行；语料、规则与算子同一作者，可能共享盲点。冻结能阻止测后调参，但不提供独立验证。一次 pass 内 65 个 payload 共享一个目标 range，Table 4 比较的是整次 pass。端点结果限于该端点、日期与子集，label 或后端可能变化（Section 11）。
• 后续：作者指出两个方向是层的扩展而不是修复：账本增长时的裁决成本，以及跨语句推理和文件系统之外的对象模型（Section 12）。Section 8 写明会做但未实现的修改：按路径、大小与修改时间缓存已解析账本，并用淘汰策略替换整表清空。作者预测、但未实现：前者使 Fig. 6 的 log–log 斜率低于 0.2，后者去掉台阶并保持内存界。

实验覆盖范围

• 策略门实验在作者选定的 Ubuntu 镜像与工具集上进行；报告绝对毫秒的机器为 Ubuntu 26.04、Python 3.14.4、八核 Hygon。前作 Windows 的 313 例结果不在本文重报。
• 可作分母的语料为冻结 61 例（两轮）、机制表 78 行、门自测 49、凭证层自测 12。覆盖审计用 216 行 Linux 拼写、82 行审计池与 98 行对照表。执行实验为 65 个 payload，策略为 control、只拦截 DENY、DENY+ASK、去掉模板 shell 的 DENY+ASK，以及 AppArmor。
• 变异为 50 个语义算子加 17 个理由层探针，报告于指纹 285ec6bd7ecc；执行对照在 6c083e60ceeb 重测。作者报告锚失败为 0，Table 2 的阳性对照为 3/3，四次执行 pass 从恢复的基线重跑并逐字节一致。
• 端点快照使用一个第三方网关的三个未认证 label，日期为 2026 年 9 月 25 日，每案例 5 次；原始/Linux 为 259/212 行。论文报告 114/7,065 条响应含请求外上下文，54 个归档字段停在 4,000 字符捕获上限，重解析与 22 条已存逐次决策不一致。
• 论文报告了三 oracle 不一致时的处理顺序、残差 3/117，以及删除一个诱饵文件后变异分从一个读数 92.0% 变为 94.0%。论文未报告 Table 5 每格 30 次的原始加载值，只归档了汇总中位数。

作者测量一扇不解析 shell、只消费已实现动作的策略门，在 Linux 对照上知道什么、翻译后失去什么、被执行器咨询后改变什么。

• 问题：门在特权执行前给出 ALLOW、ASK 或 DENY，但不判断意图，也不看模型输入。前作留下的问题是，同一扇门迁到 Linux 后保真是否还在、哪些治理规则能按能力映射、咨询它是否改变机器上的结果以及误拦截。
• 方法：realiser 产出动词、操作数、解析 zone 与程序对象摘要；七条规则失败关闭，zone 先解析符号链接。一次性凭证绑定动词、对象身份与内容摘要。测量用三 oracle、双载体机制表、带理由层的变异，以及默认关闭的执行挂钩。依赖活文件系统的读数要连同 range 状态报告。
• 保真：冻结 61 例两轮均为 61/61，false-allow 与 false-deny 均为 0.0%。50 个变异在指纹 285ec6bd7ecc 下杀死 46 个，分值为 92.0%，四个存活者被逐一分类。继承审计的 30 次误放行按原因分级；作者不把它写成门的准确率，并写明事先预测是 0。
• 执行与映射：65 个 payload 上，不咨询门时 ESCAPE 为 25；作者部署的只拦截 DENY 时为 0，ALLOW 组误拦截为 0（Table 4）。DENY+ASK 会误拦截良性组。82 行中 43 行重表达；原标无对应的 25 行里，4 行在该主机与工具集上仍未映射。作者强调这不是平台范围缺失的证据。另有一行翻译后语义相反。
• 端点、成本与结论：三个未认证 label 在 99 个 strict-DENY 上的不拒绝多数为 81.8%、94.9%、98.0%，立即执行多数为 24.2%、4.0%、52.5%（Table 6，排除端点外上下文之前）。凭证核验的加载随行数上升，作者报告斜率 0.97。作者认为这扇门的保真足以值得构建，边界也可以写明；它不能跨语句传递语义状态，不能在没有路径时解析符号名，对象模型是文件系统，没有目标也不等于无害。