认证解决的是'谁在发起请求'，而非'工作流将执行什么'，这个根本性偏差让Agentic系统在通过登录校验后暴露出远超预期的攻击面。