先建立工具清单
- 逐项说明工具能读什么、能改什么、操作对象在哪里以及失败后如何处理。不要把通用数据库写权限或任意命令执行作为默认能力。对高影响操作提供范围更小的业务接口，使参数能够被检查。
把审批放在执行之前
- 计划生成与实际执行之间设置策略校验。确认动作应展示目标、影响和关键参数，而不是只问是否继续。用户批准一项动作不代表批准后续所有操作；执行条件改变时需要重新核对权限。
防范外部内容影响操作
- 网页、邮件和文件内容属于业务数据，不能自动成为修改系统规则的指令。工具层应检查身份与参数，并拒绝越权请求。记录模型提出的动作与实际获准动作，方便排查来源和责任。
验收哪些异常路径
- 检查越权目标、重复提交、审批拒绝、工具超时和部分成功。交付权限矩阵、审计记录及必要的恢复方法。演示一次正常查询不能证明整个工具调用链已经可以无人值守运行。