如果隔离只做在存储层而忽略了策略层，代理仍可能用A客户的语调回复B客户的评论，这是比数据泄漏更隐蔽、更难审计的失败模式。