Action-Selector Pattern

不可信输入可能在工具反馈重新进入context窗口后劫持Agent的推理过程，进而引发任意的有害操作。

仅将LLM视为**「指令解码器」**：

• 将用户的自然语言请求映射到预审批的操作（或操作模板）。
• 工具输出不反馈至LLM。
• 因此Agent在选定操作后不会受到影响。

action = LLM.translate(prompt, allowlist)
execute(action)
# 工具输出不返回给LLM

• 优点：几乎免疫prompt injection攻击；审计操作极为简便。
• 缺点：灵活性有限；新增功能需通过代码更新实现。