直接让 agent 执行 prompt 容易引入 bug，得加上中间验证步骤。