将模型请求从沙箱移回主机、同时将文件和 shell 操作留在沙箱，是对信任边界的重新划分：模型调用与凭证属于可信域，任意代码执行属于隔离域。