權限卡住其實安心很多。

如果 agent 有權限去最佳化任務，治理上就不能只看意圖。邊界要寫在工具層。不然 reward 一推，行為很快就像 attack。