策略执行点
安全领域中负责执行访问控制策略的逻辑位置，决定在哪个抽象层级对请求进行拦截和判断，是零信任安全架构的核心组件之一
时间轴 (近 90 天)
将权威策略嵌入每个Agent实现容易造成执行不一致；替代方案是把策略决策与框架特定执行分离，但关键要求是运行时不能提供绕过执行的替代路径。
提示词里的指令不是授权系统；应在工具包装层、执行前最后一刻检查操作者、资源和允许的操作，高影响动作应要求人工审批，并尽可能分离读写能力。
在工程实现上，控制点通常被称为策略执行点（Policy Enforcement Point, PEP），与之配套的是策略决策点（Policy Decision Point, PDP）；PEP 位于 agent 与工具之间的链路上（如工具网关、MCP 服务器代理或统一工具调用中间件），负责在每次调用发出前向 PDP 询问是否允许并据此放行或拒绝。
身份、工具范围、任务上下文三个维度必须在 PEP 处作为结构化字段传入，判断权从模型转移到策略引擎，而非让模型自行判断。
把决策放到 PEP 而非 prompt 里的关键意义在于：prompt 中的'策略'是给模型看的建议，模型可能忽略、误解或被注入绕过；而 PEP 是代码路径上的强制关卡，模型无法绕过。
访问控制的控制点应位于 agent 与工具之间的请求路径上，而非 prompt、system message 或策略文档里。
外部策略层的核心价值在于不可绕过性，即使智能体代码被篡改或遭提示词注入攻击，仍可作为最后防线
全部知识事实 (7)
访问控制的控制点应位于 agent 与工具之间的请求路径上，而非 prompt、system message 或策略文档里。
60%待验证将权威策略嵌入每个Agent实现容易造成执行不一致；替代方案是把策略决策与框架特定执行分离，但关键要求是运行时不能提供绕过执行的替代路径。
50%待验证提示词里的指令不是授权系统；应在工具包装层、执行前最后一刻检查操作者、资源和允许的操作，高影响动作应要求人工审批，并尽可能分离读写能力。
50%待验证把决策放到 PEP 而非 prompt 里的关键意义在于：prompt 中的'策略'是给模型看的建议，模型可能忽略、误解或被注入绕过；而 PEP 是代码路径上的强制关卡，模型无法绕过。
50%待验证在工程实现上，控制点通常被称为策略执行点（Policy Enforcement Point, PEP），与之配套的是策略决策点（Policy Decision Point, PDP）；PEP 位于 agent 与工具之间的链路上（如工具网关、MCP 服务器代理或统一工具调用中间件），负责在每次调用发出前向 PDP 询问是否允许并据此放行或拒绝。
50%待验证身份、工具范围、任务上下文三个维度必须在 PEP 处作为结构化字段传入，判断权从模型转移到策略引擎，而非让模型自行判断。
50%待验证外部策略层的核心价值在于不可绕过性，即使智能体代码被篡改或遭提示词注入攻击，仍可作为最后防线
50%