sepcomp: add option `--guard-call`