如果只在下游动作层做权限校验或二次确认，可能拦不住已被改写意图的智能体；在推理早期检测多模态信息一致性异常可能是更有效的防御切入点。