仅靠系统提示词无法解决评估 Agent 的失控问题，因为系统提示词本身就是被评估的对象之一；管控必须放在工具链中，模型无法修改或争辩。