Agent 安全护栏四重奏：路径沙箱、审批模式、敏感脱敏与重复拦截