钩子 Hook

在智能体执行 shell 命令之前拦截：命中 rm -rf、DROP TABLE 等危险模式直接拒绝，逼它换安全做法。