模型决定“建议调用什么函数”,应用决定“是否真的调用”。这句话是 Agent 安全的底线。以“给客户发送回访邮件”为例,模型可能正确识别了意图,也可能被一段网页文本诱导去调用删除工具。解决办法不是写更长的提示词,而是给工