Exposer une mutation high-risk

Une mutation irréversible ou observable extérieurement doit avoir une intention étroite, une autorité calculable et un comportement de répétition explicite.

Checklist

• Déclarez risk_level: 'high' selon le pire chemin permis par le Tool.
• Gardez les identités de configuration/credentials sous contrôle designer.
• Décidez explicitement quels paramètres d’effet peuvent être model-controlled ; ne déléguez pas un destinataire, montant ou compte externe par défaut.
• Validez l’autorité et les transitions métier dans le service canonique, pas dans le prompt.
• Documentez l’idempotence réelle, l’issue incertaine après timeout et le chemin de réconciliation.
• Ne présentez jamais une confirmation demandée au modèle comme un gate de sécurité implémenté.

Un envoi d’email reste high-risk même si son contenu est bénin : l’effet externe a eu lieu. Voir Niveau de risque des Tools.