每個代理一個 workload identity，絕不借用使用者的帳號或權杖。

Just-in-time、短效、限定範圍的 token，例如 OAuth token exchange／on-behalf-of。

准不准由 PDP 判斷，不放在模型的推理裡；模型被誘導，也拿不到額外權限。

寄信、刪除、付款需 step-up 或人工核准。Cloudflare MCP server 已於 2026-10-19 加入 step-up authorization。

寫入 append-only 儲存，代理無法修改或刪除自己的紀錄。