别再在「每次都问」和「全都放行」之间二选一：给托管智能体配一档 auto 权限

评估发生在服务端，输入有三样：被调用的工具、这次调用的参数、以及到此刻为止的会话历史。输出是三种决定之一：

auto 必须显式开启，不会自己生效。开在工具集的默认配置上，整个工具集就走评估流程：

name: Coding Assistant
model: claude-opus-5
tools:
  - type: agent_toolset_20260401
    default_config:
      permission_policy:
        type: auto

更实用的做法是分层：读操作保持在宽松档，只把高风险动作送进评估器。单工具的策略会覆盖工具集默认值：

name: Coding Assistant
model: claude-opus-5
tools:
  - type: agent_toolset_20260401
    default_config:
      permission_policy:
        type: always_allow        # 默认：读写文件等常规操作直接跑
    configs:
      - name: bash
        permission_policy:
          type: auto              # 只有 bash 走服务端评估

name: Research Assistant
model: claude-opus-5
tools:
  - type: mcp_toolset
    server: docs-server
    default_config:
      permission_policy:
        type: auto
    configs:
      - name: search_docs        # 用 MCP 服务器实际上报的工具名
        permission_policy:
          type: always_allow

决定为 ask 时，得有人来处理。命令行的做法是把自己挂到正在跑的会话上，待批准的调用会以行内提示的形式出现：

# 连接到托管智能体会话，实时跟进对话记录
ant beta:sessions connect

# 等待批准的调用会以行内提示出现，直接选允许或拒绝

# 想在浏览器里看，加 --web
ant beta:sessions connect --web
# 它会在本机起控制台的会话视图并打开

# 你不需要反复轮询看板：保持连接，直到会话结束或你主动断开

开启 auto 之后，工具调用事件会多出两个字段，用来记录这次评估的结论：

# 采集思路（伪代码）
on tool_use_event(e):
    if e.evaluated_permission == "deny":
        alert("agent call denied", tool=e.name, reason=e.reason_code)
    elif e.evaluated_permission == "ask":
        queue_for_human(e)
        # 特别关注 reason_code == "indeterminate" 的那批
        # 它们代表评估器也没把握，是人工复核的重点