输入从哪一步变成了指令？

语法功能相互作用会让笔误变成合法程序

Crockford展示return换行被分号插入、块与标签语法组合掩盖；Hettinger担心类型标注和数字分隔符等新增语法让原本报错的笔误变成有效程序。连接在错误可检测性，而非泛泛反对语言增长。

遇到无效输入，应当纠正还是拒绝？

信道纠错把接近合法码字的受扰数据解码为合法邻居；协议安全要求完整识别输入后再交给处理逻辑。两端都界定了合法消息，决定如何处理偏离时，需要先问面对的是随机误码还是主动构造的输入。

意外的通用计算能力也可能成为攻击面

PowerPoint展示原本用于展示的动画构造可以模拟任意转移函数；安全演讲则把输入处理的计算能力视为应受限的权限，解释为什么通信边界不应无意引入过强的执行能力。

不可信输入进入处理路径前，边界应在哪里

提示注入演示外部内容被误当成新指令；LangSec则展示在完整识别输入前交错执行处理逻辑，会产生攻击者可利用的状态转换。两者可作为输入边界设计的对照，不能据此推出相同攻击机制或相同修复办法。

同一串符号，交给谁来解释？

在 Lisp 解释器里，把一个含有自由变量的过程交给别人，变量得回创建过程时的环境中找；只交出那几行字会漏掉一部分意思。连接式语言把两个表达式排在一起，则约定为函数组合。再看理论课中的正规表达式和有限自动机：写法很不一样，却能识别同一类字符串。判断一段输入能做什么，要说明解释规则和可用状态，单从它看起来像代码或图案很难下结论。

读出一个列表，和允许它运行之间还有几步？

Lisp 的例子让「数据可以表示程序」这句话更具体。读入文本先得到有结构的形式；宏可以在后续阶段变换它，求值又是另一个动作。设计接收外部表达式的接口时，可以逐项标明谁只读结构，谁有权扩展形式，谁最终执行。某一层的 reader 被设计为无副作用，不能替后续所有解释动作作出同一保证。

一幅画什么时候借出的是读音？

Thoth’s Pill 用借音造字说明，同一个图形可以表示事物，也可以只提供一个音。若两个词读音接近，再添一个表示意义类别的标记，读者便多了一条线索。试着遮住那个额外的标记：纸面笔画还在，读者可在多种解释间作出的选择却变了。类比程序解析时要保留一个差别：人可以借助上下文猜测；程序遇到歧义时要看语言的具体规则。

同一句话，是文字输入还是编辑命令？

Rudd 把流畅识别文章与操作编辑器分开看：他的目标是让短语触发搜索、跳转、选择和回调，而非把所有代码逐字拼出来。这样一来，「输入变成指令」的边界落在自定义语法及其上下文里。增加一个方便的说法，也可能占用原来用于输入文字的说法；他在结尾明确提到语法之间会冲突。检查一套语音接口时，可以先列出某个上下文中会被当作命令的短语，再问它们与普通输入怎样区分、冲突时谁决定含义。这是对讲者接口取舍的阅读，不是对现场识别准确率或代码执行的测试。

同一个文件里，哪些内容要由播放器执行？

Ahoy 回顾的 tracker 模块把采样和乐曲放进同一个文件。采样提供可以播放的声音，音符和效果则决定播放器何时取用声音、怎样处理它。可以沿着一次播放追问：如果只换掉一个采样，哪些时刻会听到变化？如果只改一个音符或效果，又是什么在改变？这给「输入从哪一步变成指令」提供了一个不涉及安全攻击的实例。

模型读到一封邮件，邮件就能决定工具怎么用吗？

本篇把提示注入与输入边界放在一起看，但识别自然语言并不会自动给出安全的执行边界。CaMeL为这个问题补上具体架构：规划模型只根据可信用户请求安排工作，不直接读取外部工具返回的正文；另一个没有工具权限的模型负责解析这些内容。

这个隔离仍不够。如果会议记录给出了收件地址，计划即使没有变化，文件也可能流向不该接收它的人。论文因此让解释器追踪值的来源与允许读取者，再检查工具调用的参数。它把“有没有按原计划执行”推进为“这份数据可以流到哪里”。这里的边界依赖可执行的策略与工具标注；作者仍承认侧信道、确认疲劳和实现验证的缺口，不能把它读成对任意代理的安全证明。