L'autopilote est une capacité ACCORDÉE, jamais un droit — défaut : OFF pour tout le monde (§4).
Kill-switch global : inactif
Le kill-switch (deny global) court-circuite TOUS les grants, même explicites — coupure d'urgence de l'autopilote.
Testeur de résolution (debug)
Explique la décision du resolver pour un sujet donné — précédence : kill-switch > user > tenant > segment > global > défaut NON.