refactor(security): 删除三份包级单例，共享数据统一挂 kstate

## 用户裁定

> secutiry 的实现也是错误的，所有共享数据统一挂载一个 kernel 提供的
> 挂载点上暴露。

> store也应该调用security的加密能力！

## 缺陷

security 包原有**三份**独立包级单例，各自被 InitXxx/SetXxx 装入、
各自有访问器，三份都绕开了内核统一挂载点 kstate.State：

    global      *Store    变量库（凭据别名）    Global()
    runtime     *Runtime  安全防火墙            RuntimeGlobal()
    globalCodec *Codec    配置落盘加密          ConfigCodec()

## 为什么单例是错的（不是"多一个全局变量"）

本 agent 的 a.security 与 security.Global() 是**两个独立变量**。
正常装配下它们恰好指向同一份数据，但"恰好"不是保证：

  · 测试替身：测试装单例、被测代码用 agent 字段 ⇒ 测的与跑的不是同一份
  · 多 Runtime：两个内核实例/热重载时单例只有一份，另一方被覆盖
  · 装配顺序：单例装晚了，先注册的 provider 就没被装饰

第三条**曾真实存在**：ProviderManager.Register 在注册时读单例套装饰器，
而 llm 模块原本不声明 FacSecurity 依赖 —— 顺序正确纯属巧合。
改动过程中判据如实报红 640 次泄漏。

## 本次做的（T3.1 + T3.3）

### 删 global *Store → 注入

变量库的唯一来源是 security 模块产出的 Runtime，经注入面分发：

    AgentConfig.Security        → a.security.Store() → a.secretStore()
    ProviderManager.SetSecretStore
    plugin.Registry.SetSecretStore  → sdk.NewSecretsAPI(store)

core 的 4 处 security.Global()（output/toolcall/tooldefs/secret_tools）
改为 a.secretStore()；context 与 stageHost 改为注入字段；
provider 装饰器改为读注入的 Store。

### 删 runtime *Runtime → 注入

    plugin.Registry.SetSecurityRuntime → sdk.NewSecurityAPI(name, rt)
                                       → sdk.newEventsAPI(name, bus, rt)

Prepare 的幂等缓存改为 kernelmod/security 私有变量 ——
装配器私有，不再是任何包都能取的公开访问器。

### 顺带删死代码

security.FillToolArgs / FillPayload 生产调用者为 0（StageHost 已自己
用注入的 Store 做同一件事），连同只测它们的判据一起删除。

### llm 模块补 FacSecurity 依赖

这是**真实存在**的依赖：注册 provider 时要套出向装饰器，而装饰器需要
变量库。此前靠"单例先装了"掩盖了顺序错误。

## 判据（均经变异验证）

  TestNoPackageLevelSingletons          源码扫描；加回 var global ⇒ 红（实测）
  TestMustStoreDoesNotRegisterGlobally  两次 MustStore 必须得到不同实例
  TestStoreEncryptsWithOwnKey           落盘无明文 + 重载可解

## 验证

  go build ./...              PASS
  go vet ./...                PASS
  gofmt -l                    干净
  go test ./... -count=1      63 包全过，0 FAIL
  干净检出（git worktree）     build + 3 包测试全绿

## 未做（见 kernelplan.md T3.2）

  globalCodec 收敛 + Store 复用 Codec
  还牵涉 config 的 6 处调用点与**存量密文惰性迁移**，单独一步做。
  TestNoPackageLevelSingletons 的禁表暂不含 globalCodec ——
  半成品状态长期红的判据会被人习惯性忽略，那时它就等于不存在。

internal/agent/api/provider.go

@@ -1082,11 +1082,19 @@ type providerStatus struct {
 }
 
 type ProviderManager struct {
-	mu        sync.RWMutex
-	providers map[string]Provider
-	order     []string
-	default_  string
-	status    map[string]*providerStatus
+	mu sync.RWMutex
+	// secretStore 是**变量库**（凭据别名），用于出向装饰。
+	//
+	// ★ 为什么是注入字段而不是 security.Global()（2026-11-04）：
+	// 包级单例绕开了内核的统一挂载点（kstate.State.Security）。
+	// 现在由内核装配时调 SetSecretStore 注入；未注入时装饰器零成本跳过。
+	//
+	// nil 合法：未启用安全模块、或测试未注入。
+	secretStore *security.Store
+	providers   map[string]Provider
+	order       []string
+	default_    string
+	status      map[string]*providerStatus
 
 	// caps 是**配置层声明**的模态能力（源名 → vision/audio）。
 	//
@@ -1183,13 +1191,33 @@ func (m *ProviderManager) Reset() {
 // 逐个改必漏；而且插件新增 provider 时无人在意去挂装饰器。
 //
 // 安全模块未启用时 security.Global() 返回 nil ⇒ 装饰器完全不介入，零成本。
+// SetSecretStore 注入变量库（内核装配时调用一次）。
+//
+// 注入后**已注册的 provider 不会补装饰**：装饰发生在 Register 时。
+// 因此内核必须在注册任何 provider 之前调用本方法（llm 模块的 Init 顺序保证）。
+func (m *ProviderManager) SetSecretStore(s *security.Store) {
+	if m == nil {
+		return
+	}
+	m.mu.Lock()
+	m.secretStore = s
+	m.mu.Unlock()
+}
+
+// secretStoreOf 读注入的变量库（无锁快照，Register 内部用）。
+func (m *ProviderManager) secretStoreOf() *security.Store {
+	m.mu.RLock()
+	defer m.mu.RUnlock()
+	return m.secretStore
+}
+
 func (m *ProviderManager) Register(name string, p Provider) {
 	// 出向明文 → 别名（防泄漏）。未启用时原样透传。
 	//
 	// 守卫：已是本层装饰过的实例就不再包一层。
 	// 双重包裹本身无害（第二遍看到的已无明文，是空转），但会白跑一遗
 	// 正则扫描 —— 而热路径上每条消息都扫一遍，不值得。
-	if store := security.Global(); store != nil {
+	if store := m.secretStoreOf(); store != nil {
 		if _, alreadyWrapped := p.(*secureProviderDecorator); !alreadyWrapped {
 			p = WrapProviderForSecurity(p, store)
 		}