终止开关必须是一个按钮而不是一张工单，应能在不依赖Agent自身逻辑的情况下切断执行（如通过特性开关、吊销凭证或暂停任务队列），并经演练确保可用。