01.1 多轮执行
调用、观察、继续。
模型可以使用工具、分析结果，并在回答前再次调用。Stop 会取消模型请求、正在执行的调用以及仍在等待的任何批准。
02 工具来源
接入 API，同时固定目标位置。
外部清单会被获取、审核并固定。模型可以为允许的操作选择参数，但永远不能决定请求发送到哪里。
02.1 OpenAPI
把固定操作变成工具。
注册 OpenAPI 3.x 服务后，每个操作都可以调用。GET 初始为只读；其他方法初始视为副作用，管理员可按操作分类。
02.2 MCP
连接 Streamable HTTP 服务器。
Libre 获取服务器的 JSON-RPC 工具清单，并遵循其只读标注。支持 Streamable HTTP；stdio MCP 进程不会在 Web 进程内运行。
02.3 凭据 + 出口
按用户保管秘密，让请求始终沿正确路径发送。
Bearer 或命名请求头凭据会针对准确的用户和服务器加密。目标检查会拒绝重定向以及私有、loopback 和 metadata 网络，除非运维人员明确将 host 加入允许列表。
03 批准
让副作用成为清晰可见的决定。
只读工具可以继续。被归类为具有副作用的工具会暂停当前轮，直到发起调用的人决定下一步。
03.1 决策范围
允许一次、允许当前会话、始终允许，或者拒绝。
批准可以覆盖一次调用、当前聊天，或同一服务器上的同一工具。持久授权可跨重启保留，并可在 Settings 中撤销。
03.2 安全失败
没有回答并不代表获得许可。
拒绝或过期的批准永远不会执行调用。模型会收到该结果，并可继续处理，而不会假装副作用已经发生。
03.3 可追责性
调用和决策会留下经过脱敏的记录。
每次工具调用和批准都会生成安全审计事件，但不会把提示词内容或秘密写入日志。