Proteger un agente con permisos de escritura frente a contenido no confiable

Un correo o un mensaje reenviado se trata como dato no confiable: el agente corre en propose-only, las lecturas se ejecutan para dar contexto pero las escrituras se acumulan en un plan que se muestra y se persiste como confirmación pendiente. Solo un «sí» del miembro ejecuta el plan entero, de forma atómica.