监控是访问控制的另一半：每次调用都要记录决策结果、检查的范围以及最终结果；单次拒绝是噪音，但来自同一 agent、同一工具或同一用户的拒绝模式是值得响应的信号。