访问控制的控制点应位于 agent 与工具之间的请求路径上，而非 prompt、system message 或策略文档里。