feat: run agent tools with host permissions

docs/features/wechat-clawbot-channel-project-prd.md

@@ -40,7 +40,7 @@ GoodBuddy 已将企业微信、钉钉和微信 ClawBot 远程消息通道纳入
 8. “对话”映射为 GoodBuddy `Ask`；“执行”映射为 `Execute`。
 9. 每个通道项目默认使用“模型连接”中的默认直连文本模型，也可以显式选择其他直连文本模型、OpenCode 或 Continue。选择 OpenCode/Continue 时，通道只保存 Runtime 类型，并在每次远程请求开始时动态跟随“Agent Runtime”中的对应全局配置，不维护第二套模型来源或 Runtime 配置。
 10. 远程 Execute 不显示通道专属请求级或逐工具确认；收到合法消息后立即按所选后端运行。
-11. 任务仍受工作目录、Runtime 能力、沙箱、能力开关、直连模型工具安全策略和活动审计约束。
+11. 任务仍受工作目录上下文、Runtime 能力、Ask/Execute 边界、能力开关、直连模型工具安全策略和活动审计约束；Agent Runtime 工具使用当前用户权限。
 12. 停用或断开通道不得删除通道项目、远程会话、任务、活动或成果历史。
 13. 通道项目由系统管理，用户不能永久删除；用户可以修改其工作目录、处理后端和默认模式。
 
@@ -372,7 +372,7 @@ Execute 消息通过身份、长度、去重和并发检查后：
 4. 所选后端不支持工具执行时，不启动任务，并返回设置修复说明。
 
 远程 Execute 不创建 GoodBuddy 通道专属请求确认或逐工具确认。安全边界由
-发送者白名单、私聊限制、项目根目录、所选 Runtime、沙箱、能力开关和工具
+发送者白名单、私聊限制、项目根目录上下文、所选 Runtime、工作模式边界、能力开关和工具
 安全策略共同提供。UI 必须持续说明该行为，不能让用户误以为仍会弹窗确认。
 通道只回传最终结果或可操作的失败信息，不发送“执行已开始”等无操作价值的
 中间状态消息。
@@ -381,10 +381,10 @@ Execute 消息通过身份、长度、去重和并发检查后：
 
 不同后端按现有行为运行：
 
-- OpenCode 和 Continue 使用各自的工具系统、能力检查和沙箱配置。
+- OpenCode 和 Continue 使用各自的工具系统与能力检查，并以 GoodBuddy 客户端当前用户权限运行。
 - 直连模型只可调用已启用的内置工作区工具及已分配 MCP 工具。
 - “Execute 自动授权已启用的工具”策略无需逐次确认；“禁止所有工具执行”策略拒绝所有直连模型工具调用。
-- Runtime 沙箱模式继续有效。
+- 平台不提供 Runtime OS 沙箱模式；Ask 的只读边界和各 Runtime 工具策略继续有效。
 - 任何工具结果都进入现有任务和活动审计。
 
 ### 9.5 结果回传
@@ -689,7 +689,7 @@ Renderer 快照只返回是否已配置和脱敏标识。
 - [ ] 直连模型、OpenCode 和 Continue 均按各自能力正确路由。
 - [ ] 通道不发送“执行已开始”等中间占位消息，只发送最终结果或可操作失败。
 - [ ] 任务使用对应通道项目根目录。
-- [ ] Runtime、沙箱、能力和直连模型工具安全策略继续生效。
+- [ ] Runtime、工作模式边界、能力和直连模型工具安全策略继续生效。
 - [ ] 任务、活动、工具、成果和最终结果关联到通道项目与远程会话。
 
 ### 16.6 生命周期与安全