エージェントシステムにおいて、実際に実行を妨げているのは何か？

この建物に入って、API呼び出しをトリガーできるエージェントに遭遇しました。

検証、ツールの制約、リトライ…すべてが「安全」そうに見えました。

それでも、古い状態（stale state）＋リトライのせいで、結局同じアクションを2回実行してしまいました。

実際には実行を防いだものは何もありません。行動を形作っただけです。

実際の実行ゲートとして人々が何を使っているのか気になります：

1. エージェントの外部にある何か 2. 決定的な許可／拒否 3. 拒否された場合はフェイルクローズ 

実運用でこれを強制する具体的なパターンやシステムはありますか？