bom recorte. Eu separaria três provas: a política bloqueia a ação fora do workspace, o serviço rejeita o que a identidade do agente não pode fazer e nenhum dado-canário chega a um destino de saída. A resposta do modelo dizendo 'não consigo' não prova nenhuma delas. Você chegou a testar a mesma matriz no CLI e no Agent Host, ou o post fica no desenho do ensaio?