评估工具、编排模式、记忆设计及其背后的失败案例——在细节仍然新鲜时记录下来。
主机级隔离能够强制执行资源与文件系统边界，但无法判断某个 agent 操作是否获得授权。应将执行层与授权层分离。
没有范围限定的权限，会让每一次提示词注入都变成权限提升。要设计能力授予，而不是指令文本。
