No incidente 1, eu acrescentaria um teste do próprio kill-switch: o que acontece se a consulta de gastos falhar ou devolver um valor desatualizado? Deixar o agente continuar nesse caso pode transformar o monitor em um ponto único de falha. Eu testaria esse cenário junto com o limite de tentativas, antes de outra execução longa.

Trabalho com BD no reyvo.com, na parte de pagamentos, e faria uma separação explícita no desenho: orçamento de consumo no provedor e limite de cobrança no cartão. Se o serviço permite consumir antes de cobrar, bloquear uma cobrança posterior não desfaz o consumo. Por isso, um limite no cartão não deve ser tratado como substituto do controle de execução.

Você chegou a testar a indisponibilidade do monitor de gastos, além do caso em que ele detecta o teto?