refactor(security): 删除三份包级单例，共享数据统一挂 kstate

## 用户裁定

> secutiry 的实现也是错误的，所有共享数据统一挂载一个 kernel 提供的
> 挂载点上暴露。

> store也应该调用security的加密能力！

## 缺陷

security 包原有**三份**独立包级单例，各自被 InitXxx/SetXxx 装入、
各自有访问器，三份都绕开了内核统一挂载点 kstate.State：

    global      *Store    变量库（凭据别名）    Global()
    runtime     *Runtime  安全防火墙            RuntimeGlobal()
    globalCodec *Codec    配置落盘加密          ConfigCodec()

## 为什么单例是错的（不是"多一个全局变量"）

本 agent 的 a.security 与 security.Global() 是**两个独立变量**。
正常装配下它们恰好指向同一份数据，但"恰好"不是保证：

  · 测试替身：测试装单例、被测代码用 agent 字段 ⇒ 测的与跑的不是同一份
  · 多 Runtime：两个内核实例/热重载时单例只有一份，另一方被覆盖
  · 装配顺序：单例装晚了，先注册的 provider 就没被装饰

第三条**曾真实存在**：ProviderManager.Register 在注册时读单例套装饰器，
而 llm 模块原本不声明 FacSecurity 依赖 —— 顺序正确纯属巧合。
改动过程中判据如实报红 640 次泄漏。

## 本次做的（T3.1 + T3.3）

### 删 global *Store → 注入

变量库的唯一来源是 security 模块产出的 Runtime，经注入面分发：

    AgentConfig.Security        → a.security.Store() → a.secretStore()
    ProviderManager.SetSecretStore
    plugin.Registry.SetSecretStore  → sdk.NewSecretsAPI(store)

core 的 4 处 security.Global()（output/toolcall/tooldefs/secret_tools）
改为 a.secretStore()；context 与 stageHost 改为注入字段；
provider 装饰器改为读注入的 Store。

### 删 runtime *Runtime → 注入

    plugin.Registry.SetSecurityRuntime → sdk.NewSecurityAPI(name, rt)
                                       → sdk.newEventsAPI(name, bus, rt)

Prepare 的幂等缓存改为 kernelmod/security 私有变量 ——
装配器私有，不再是任何包都能取的公开访问器。

### 顺带删死代码

security.FillToolArgs / FillPayload 生产调用者为 0（StageHost 已自己
用注入的 Store 做同一件事），连同只测它们的判据一起删除。

### llm 模块补 FacSecurity 依赖

这是**真实存在**的依赖：注册 provider 时要套出向装饰器，而装饰器需要
变量库。此前靠"单例先装了"掩盖了顺序错误。

## 判据（均经变异验证）

  TestNoPackageLevelSingletons          源码扫描；加回 var global ⇒ 红（实测）
  TestMustStoreDoesNotRegisterGlobally  两次 MustStore 必须得到不同实例
  TestStoreEncryptsWithOwnKey           落盘无明文 + 重载可解

## 验证

  go build ./...              PASS
  go vet ./...                PASS
  gofmt -l                    干净
  go test ./... -count=1      63 包全过，0 FAIL
  干净检出（git worktree）     build + 3 包测试全绿

## 未做（见 kernelplan.md T3.2）

  globalCodec 收敛 + Store 复用 Codec
  还牵涉 config 的 6 处调用点与**存量密文惰性迁移**，单独一步做。
  TestNoPackageLevelSingletons 的禁表暂不含 globalCodec ——
  半成品状态长期红的判据会被人习惯性忽略，那时它就等于不存在。

internal/agent/core/toolresult_scrub_test.go

@@ -29,6 +29,19 @@ import (
 )
 
 func newScrubStore(t *testing.T) *security.Store {
+	t.Helper()
+	return newScrubRuntime(t).Store()
+}
+
+// newScrubRuntime 建一个**带变量库的 Runtime**，供测试注入 Agent。
+//
+// ★ 为什么返回 Runtime 而不是 Store：现在唯一的变量库来源是
+// Agent.security.Store()（包级单例已删）。测试必须按真实路径装：
+//
+//	Runtime → AgentConfig.Security → a.security.Store()
+//
+// 直接返回 Store 会诱使调用方又去走全局单例，等于把刚删掉的东西加回来。
+func newScrubRuntime(t *testing.T) *security.Runtime {
 	t.Helper()
 	// 不用 t.TempDir()：它的清理是**严格**的 RemoveAll，只要清理瞬间还有
 	// 落盘写入（变量库 saveLocked 的 tmp→rename）就会报 "directory not empty"，
@@ -41,16 +54,23 @@ func newScrubStore(t *testing.T) *security.Store {
 	if err != nil {
 		t.Fatalf("建临时目录失败: %v", err)
 	}
-	s, err := security.InitGlobal(security.Options{
+	// ★ 2026-11-04：不再用 security.InitGlobal（包级单例）。
+	//
+	// 单例已被删除 —— 现在唯一的变量库来源是 **Agent 的 security 字段**
+	// （见 core.secretStore）。测试也必须按这个路径装：
+	//
+	//	Store → Runtime → AgentConfig.Security → a.security.Store()
+	//
+	// 这同时让判据更硬：它验证的是"真实注入路径"，而不是"全局恰好有值"。
+	s := security.New(security.Options{
 		Path:    dir + "/v.json",
 		KeyFn:   func() ([]byte, error) { return []byte("0123456789abcdef0123456789abcdef"), nil },
 		Enabled: true,
 	})
-	if err != nil {
+	if err := s.Load(); err != nil {
 		t.Fatal(err)
 	}
 	t.Cleanup(func() {
-		security.SetGlobal(nil)
 		// 50 × 20ms：足够让在途 saveLocked 收尾；仍不行就尽力删，不让清理失败
 		// 把一个已经通过的安全判据变成假红。
 		for i := 0; i < 50; i++ {
@@ -61,7 +81,17 @@ func newScrubStore(t *testing.T) *security.Store {
 		}
 		_ = os.RemoveAll(dir)
 	})
-	return s
+	return security.NewRuntime(s)
+}
+
+// withScrubRuntime 把一个 Runtime 装进 agent 的 security 字段。
+//
+// 装配期在真实内核里由 kernelmod/agent 的 AgentConfig.Security 完成；
+// 测试里没有内核，所以直接写字段 —— 但要保证**走的是同一条数据路径**
+// （a.security.Store()），而不是另建一个全局变量。
+func withScrubRuntime(a *Agent, rt *security.Runtime) *Agent {
+	a.security = rt
+	return a
 }
 
 // ★★ 判据：进 a.context 的工具结果不含明文（走 agent 的真实代码路径）。
@@ -135,7 +165,8 @@ func TestToolResultsScrubDoesNotMutateSource(t *testing.T) {
 // Append 之后、或忘了给 emitMemoryCandidate 用过滤后的副本），
 // 只有这条会报红。
 func TestE2E_ToolResultSecretNeverReachesContext(t *testing.T) {
-	store := newScrubStore(t)
+	rt := newScrubRuntime(t)
+	store := rt.Store()
 	const tok = "ghp_ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789"
 
 	a := New(AgentConfig{
@@ -144,6 +175,8 @@ func TestE2E_ToolResultSecretNeverReachesContext(t *testing.T) {
 		ProviderManager: agentAPI.NewProviderManager(),
 		IO:              agentIO.NewIOManager(),
 		StageHost:       NewStageHost(),
+		// ★ 必须与 store 同源：判据最后要读 store.Count() 确认真的拦截了。
+		Security: rt,
 	})
 
 	// 注册一个会吐出凭据的工具（模拟 cmd_run 读了 .env）