Agent 的 read_file 工具只做 normalize+startsWith，在 Windows 上会被 junction、8.3 短名和硬链接带出沙箱。本文用一个纯 JDK 17 的四层文件沙箱跑通 29 条攻击语料：词法基线真逃逸 3 条，四层防御只剩硬链接 1 条，并用 JDK 原生 ACL 把它堵死。附 TOCTOU 窗口实测微秒数与每调用开销基准。