在工具调用中，模型扮演调度者而非执行者，真正的副作用由工具层代码完成，因此权限控制应作用在工具层。