核心定位
Anti-Panic Protocol 是一套应对工具/命令失败的标准化应急工作流，核心目标是"Fail without collateral damage"——在承认失败的同时确保零附带损害。
核心用法
触发场景：命令失败、重复重试可能触发限流、需要严格错误响应规范时。
五步强制流程：
1. 一句话定位故障
2. 修复尝试 #1：直接、安全、最小化操作
3. 修复尝试 #2：有边界的替代方案
4. 停止重试（硬性上限，除非用户明确要求）
5. 清晰升级：用荷兰语模板向用户说明"失败原因-已尝试方案-下一步行动"
显著优点
- 防灾难设计：硬停止规则覆盖破坏性操作、重复发送、认证安全边界等高危场景
- 限流保护：内置冷却期与速率限制尊重机制，避免服务被封
- 沟通标准化：禁止原始堆栈跟踪/CLI输出，强制三段式用户沟通（What failed / What tried / What next）
- 验证闭环：完成声明前必须验证结果（消息已发送、事件已创建等），杜绝虚假完成
潜在局限
- 语言绑定：升级模板固定为荷兰语（"Dit faalde..."），国际化场景需手动调整
- 重试上限僵化：2次硬性上限可能无法覆盖某些需渐进式修复的复杂故障
- 无自动回滚：仅阻止进一步损害，不提供失败操作的自动撤销机制
- 依赖人工确认：多数升级路径需要用户介入，全自动化场景适用性有限
适合人群
- 高频调用外部API/工具的AI助手开发者
- 需要严格合规边界的企业级Agent部署
- 对"幻觉完成"（虚假成功声明）零容忍的生产环境
常规风险
| 风险类型 | 说明 |
|---------|------|
| 模板语言障碍 | 非荷兰语用户可能误解升级信息 |
| 隐性超时 | 未明确最大等待时长，长时间挂起可能占用会话资源 |
| 验证盲区 | 某些异步操作（如队列写入）难以即时验证，可能误判为失败 |