"""Schutz vor Prompt Injection (→ Konzept 4.4, 7.8).

Die harte Grenze sind Plattform-Regeln, die nicht vom Modell abhängen: angebotene
Tools, Policies, Freigaben, Rechte je Workspace, Push nur durch Menschen. Dieses Paket
ergänzt das um zwei Dinge, die an einer Stelle gepflegt werden:

- untrusted: fremde Inhalte (Tool-Ergebnisse, Repository-Dateien, Kommentare,
  Dienst-Anleitungen, vom Modell verfasste Zusammenfassungen) einheitlich einfassen,
  so dass sie die Einfassung nicht selbst schließen können.
- signals: Muster, die wie Anweisungen an eine KI aussehen, erkennen, protokollieren
  und im Inhalt kennzeichnen. Nichts wird blockiert; das Erkennen übernimmt im
  Wesentlichen das AI Gateway.
"""