認可の「拒否」は、止める場所があって初めて効く

認可サービスが拒否を返しても、別の経路で送信できる作りなら、制御になっていない（OWASP Authorization Patterns）。

• 実行前に、判断結果に従って要求を遮断する場所を置く
  • 例：送信はゲートウェイ経由に限り、メールの資格情報はゲートウェイだけが持つ
  • 例：メールサービス側で、そのアカウントからの社外宛て送信を禁止する
  • 例：エージェントの実行環境で、送信ツールの呼び出しを拒否ルールやフックで止める
• その仕事で何をしてよいかは、エージェントの自己申告ではなく、依頼を受け付けた業務システム（チケットやワークフロー）の記録で確かめる
  • 例：依頼の記録が「下書き作成」なら、エージェントが「送信の仕事です」と名乗っても送信は拒否する
• 宛先・対象文書・承認条件も、必要に応じて実行直前に確認する
• ゲートウェイで制御するなら、そこを通らない直接呼び出しがないかも確認する

間違った操作は、遮断の仕組みで止める。ログは、付与・根拠・遮断の有無を後から確かめるために設計する。