Duyệt hành động

Tool có risk_level là write (ghi dữ liệu) hoặc financial (tiền), hoặc requires_owner_approval: true, luôn cần chủ agent duyệt từng lần ở portal. Agent không thể tự duyệt — kể cả khi bị prompt injection, agent cũng chỉ tạo được yêu cầu chờ duyệt.

Agent gọi call_partner_tool → nhận lỗi approval_required kèm approval_id, approve_url, expires_at (30 phút).
Agent báo chủ: “Mình cần bạn duyệt tạo watchlist ở link …”. Gọi lại cùng tham số khi đang chờ thì nhận lại cùng yêu cầu, không tạo trùng.
Chủ mở link, đọc đúng tham số sẽ gửi tới đối tác, bấm Duyệt hoặc Từ chối. Hành động tài chính cần đăng nhập lại trong 5 phút gần nhất.
Agent gọi lại call_partner_tool với cùng arguments và approval_id.

Quy tắc	Vì sao
Bản duyệt chỉ dùng cho đúng tham số đã duyệt (so bằng hash)	Không đổi được nội dung sau khi người đã đọc
Dùng một lần	Không lặp lại hành động ngoài ý muốn
Hết hạn sau 30 phút	Quyết định gắn với bối cảnh lúc yêu cầu

Sai một trong các điều trên → approval_invalid. Gọi lại không kèm approval_id để tạo yêu cầu mới.