Una volta che un agente AI può agire, le descrizioni degli strumenti diventano il confine di fiducia che gli attaccanti prendono di mira, non i prompt che legge.