透明加密：win7访问远程共享文件的缓存试验与分析

环境：
远程服务器：xp，不装加解密驱动，开启共享文件夹
本地客户端：win7，安装加解密驱动，访问共享文件夹
 
过程：
通过win7主机，远程访问xp上的加密文件，在线打开查看内容
 
现象
第1步：notepad.exe打开crypt.txt，截获nocached_read，正常解密，看到明文；
第2步：winword.exe打开crypt.txt，未截获nocached_read，无解密过程，看到密文；（或者explorer.exe复制文件，得到的副本也是密文）；
第3步：notepad.exe再次打开crypt.txt，未截获nocached_read，无解密过程，看到明文。
 
分析：
第2、3步都没有截获nocached_read，说明缓存没有更新；
第1、3步都看到明文，说明缓存中始终为明文。
 
问题：
第2步中winword和explorer得到的密文是从哪里来的？
 
猜测：
win7访问网络共享文件时，除通过本地文件系统读取远程数据（可以拦截到，进行解密），还通过网络驱动直接读取远程缓存数据（拦截不到）。
 
不知道上述的试验和分析有没有问题，有没有高手遇到类似问题，是怎么处理的？虚心求教！

没有人知道吗？

本站的帖子那么多，也不搜下。
网络文件系统跟本地文件不同，cacheio也会直接访问网络服务端数据，所以网络文件系统不能只处理noncache。

谢谢楼上，搜了n遍，没搜到。
这个问题一定要很牛的大牛才能回答