Eine Ablehnung könnte unsere Anwendung so zurückgeben:
{
"type": "function_call_output",
"call_id": "call_01",
"output": "Nicht ausgeführt: Für dieses Projekt ist
kein Befehlszugriff freigegeben."
}
Der Text in output stammt aus unserer Anwendung; die API schreibt diese Formulierung nicht vor. Eine technische Sperre hängt nicht davon ab, ob das Modell eine Anweisung befolgt. Wenn die Runtime den Aufruf ablehnt, startet sie ihn nicht. Soll ein gestartetes Programm außerdem nur bestimmte Dateien bearbeiten oder kein Netzwerk verwenden dürfen, muss auch seine Ausführungsumgebung diese Grenze durchsetzen, etwa eine Sandbox, eine technisch begrenzte Umgebung für Programme.
Ein Filter für ein paar verbotene Befehlswörter reicht dafür nicht. Auch ein erlaubter Befehl kann weitere Programme starten. Die Grenze muss für die tatsächlich erreichbaren Aktionen gelten.
Bei einer Freigabe verarbeitet die Runtime die Entscheidung des Nutzers. Eine erneute Frage an das Modell, „Bist du sicher?“, kann zur Prüfung anregen, ersetzt diese Entscheidung aber nicht. Das Modell darf sich eine fehlende Freigabe nicht selbst geben. Für bereits erlaubte Routineaktionen muss die Anwendung keine zusätzliche Rückfrage einbauen; ein Agent, der für jedes Dateilesen um Erlaubnis bittet, ist so nützlich wie ein Spielleiter, der vor jedem Schritt im Korridor würfeln lässt.