行动：让计划安全落地的那道缝

# Tool RAG：语义检索代替把全部工具塞进 prompt（ACI 第一原则）
tools = tool_rag.retrieve(query, top_k=10)        # 召回相关工具，缩 prompt、降噪
for t in tools:
    assert t.docstring.has_examples            # 工具文档当写给初级工程师的 docstring
    assert t.docstring.has_edge_cases          # 含示例、边界、输入格式、与相邻工具的界限

# poka-yoke：把易错的自由度从签名里删掉，而非靠提示祈求
def read_file(path: AbsolutePath):                # 类型约束：相对路径根本无法构造
    assert path.is_absolute(), "tool only accepts absolute paths"   # 结构消错
    return open(path).read()

# 反例：可省略 / 相对路径 = 给模型留下整类可犯的错
# def read_file(path: str = "./current"):  ← 模型会在相对路径上间歇填错

# 提示链 = 固定 prompt 序列；接缝处插确定性 gate（非 LLM）兜底
def chained(task, max_retry=2):
    state = {}
    for step in STATIC_CHAIN:                       # 静态写死的拓扑：步骤已知
        raw = llm(step.prompt, ctx=state)           # step_i 吃 step_{i-1} 的输出
        for attempt in range(max_retry + 1):
            if gate_validate(step, raw):            # schema/正则/范围断言：确定性
                break                               # 通过 → 放行
            if attempt == max_retry:
                return abort(step, raw)             # 过严会误杀，给上限避免空转
            raw = llm(step.repair_prompt, ctx=raw)  # 不过 → 回退重试
        state[step.id] = raw
    return state
# 不变式：gate 是非 LLM 的确定性代码。换成 LLM 当 gate，脆弱性只是被搬位置。

# 守卫三明治：输入护栏 + 输出护栏 + 不可逆动作审批（LangGraph interrupt 语义）
def guarded_act(request):
    if input_guardrail.flags(request):              # 拦有害/越权/提示注入（可旁路并行模型）
        return reject("blocked at input")
    answer = main_model(sandwich(request))          # 不可信数据被夹在校验层之间，并在数据后重申指令
    if output_guardrail.flags(answer):              # 查泄密/跑偏/品牌风险
        answer = block_or_revise(answer)

    for act in extract_side_effecting_actions(answer):
        # 审批必须卡在副作用之前——这是 plan(可回滚) → act(不可逆) 的分水岭
        if risk_rating(act) >= HIGH or not act.reversible:
            decision = interrupt({"propose": act})  # checkpoint 全状态、挂起，等人
            if decision == "reject": continue
            if decision == "edit":   act = decision.edited
        execute(act)                                # 副作用在审批之后才发生