给 Agent 配一份“可用工具列表”，只能说明模型可以看到哪些函数，不能说明用户有权对哪些对象做什么。一个用户能调用 rerun_job，不代表他能重跑所有项目、所有环境的任务；能调用 query_table，也不代表能读每张表的每个字段。
我把工具权限表达为 subject × action × resource × context。主体来自可信会话，动作来自已注册工具，对象必须解析为稳定 ID，上下文包含租户、环境、时间和资源当前状态。模型只提出参数，不参与最终授权结论。
邓明瑞 / 纯粹
