让 AI 编程任务可审计：从执行计划到受控工具调用

当 AI 只负责补全当前函数时，风险通常局限在一段代码；当它可以读取仓库、执行测试、修改文件，甚至提交变更时，系统就从“文本生成器”变成了一个能够影响开发环境的执行者。此时，单纯增加提示词并不能解决权限越界、误删文件、测试结果被误读或修改无法追溯等问题。