feat(security): 每 agent 一个策略实例 —— sessionProfile / longtimeProfile 两层

## 用户裁定

> 每个 agent 一个，分为 sessionProfile 和 longtimeProfile

## 收敛前的缺陷

档位挂在 `Runtime.active`（**进程级单例**）上，多 agent 并发时串档：

	主 agent 轮次 A：注入 qq.guest  →  active = "qq.guest"
	驻留子 轮次 B：注入 qq.owner    →  active = "qq.owner"     ← 覆盖 A
	主 agent 轮次 A 继续执行工具     →  判定按 owner 走        ← 串档

这不是理论风险：驻留子 / rtchild 与主 agent **同进程并发**（plan.md 十一）。

## 切分原则：共享注册表 + per-agent 执行视图

**不能整份复制 Runtime** —— `profiles` / `principals` / `scopes` 是插件
声明出来的注册表，每个 agent 各持一份就会变成「插件往 A 声明了档位，
B 看不见」，那是最难查的一类缺陷。

	共享（进程级 1 份）              per-agent（N 份）
	────────────────────────        ───────────────────
	gate / policy / content          sessionProfile   ← 轮次级
	profiles / principals            longtimeProfile  ← agent 生命期
	scopes / eventPolicy

## 两层档位语义（用户裁定）

	sessionProfile  —— 属于**这一轮**。输入携带它，End() 即清。
	                   严格 per-round：同一用户下一条消息要重新声明。
	longtimeProfile —— 属于**这个 agent 的一段生命**。设置后跨轮保留，
	                   直到显式改掉或 agent 销毁。

**优先级 session > longtime**，这个顺序本身是安全语义：

	session 是"这一轮的事实"，必须能盖住 long-time 默认值 ——
	否则访客发一条消息也无法在长期为 owner 的 agent 上收窄权限。

	反向（longtime 盖 session）= 提权：长期 owner 的 agent 上，
	访客声明的 guest 被吞掉 ⇒ 访客拿到 owner 权限。

## 改动

① 新增 `internal/security/agentscope.go`：

	rt.ForAgent(agentID, isChild) *AgentScope   // 幂等
	sc.BeginRound(RoundInput)                   // security 自己解析档位
	sc.SetLongtimeProfile(name) / LongtimeProfile()
	sc.EffectiveProfile()                        // session > longtime
	sc.CheckTool(tool)                           // 全局基线 + 档位 + 主体策略
	rt.ReleaseAgent(agentID)                     // 含 longtime 档一起清

② `Runtime` 新增 `scopesByAgent` 表；判定拆出 `checkToolWithProfile(p, profile, tool)`
   与 `checkToolForWithProfile(...)` —— **档位由调用方显式传入**，
   不再一律读全局 `r.active`（否则 per-agent 视图白做）。

③ `agent/core`：`securityScope()` 用 `sync.Once` 缓存本 agent 的视图；
   `Stop()` 里 `ReleaseSecurityScope()`。

④ `Round.End()`：per-agent 路径只清 **session**，**保留** longtime；
   旧进程级路径仍恢复进入前的值。

## 判据（3 个变异全部实测咬住）

| 判据 | 变异 |
|---|---|
| `TestAgentScopesDoNotShareSessionProfile` | ForAgent 退化为共享视图 ⇒ 红 |
| `TestLongtimeProfileSurvivesRounds` | 优先级写反 / longtime 不跨轮 ⇒ 红 |
| `TestReleaseAgentDropsLongtimeProfile` | ReleaseAgent 不删视图 ⇒ 红 |
| `TestLongtimeProfileRejectsUndeclared` | 未声明档位被接受 ⇒ 红 |

第一条同时钉：① 各自档位是自己的 ② **行为上**主 agent 仍被 guest 收窄、
子 agent 不受影响（只断言字符串相等会漏掉判定链没接上的情形）。

## 实测

- 真实并发探针：3 个 agent（guest / owner / guest）各 200 轮并发，
  `-race` 干净，**零串档**
- build / vet / go test ./...（62 ok / 0 fail）/ -race 全绿

## 未变的约束

档位与主体策略**只能收窄**：`CheckToolFor` 内部先跑全局策略，
所以父的黑名单对子依然有效，子无法提权。

internal/security/principal.go

@@ -250,8 +250,22 @@ func (r *Runtime) CheckToolFor(p Principal, tool string) Decision {
 	if r == nil {
 		return allowed()
 	}
-	// ① 全局策略（deny 优先）。
-	if d := r.CheckTool(tool); !d.Allowed {
+	// 用进程级档位（旧路径）。per-agent 视图走 checkToolForWithProfile。
+	return r.checkToolForWithProfile(p, r.ActiveProfile(), tool)
+}
+
+// checkToolForWithProfile 是**主体判定 + 指定档位**的组合实现。
+//
+// ★ 为什么必须与档位一起传（2026-10-31）：
+// per-agent 视图的档位是**它自己的**（session/longtime）。若这里回头
+// 调 `r.CheckTool(tool)`（读进程级 active），per-agent 的档位就被丢了 ——
+// 表现为「档位设了但不生效」，而全局 active 恰好为空时看不出问题。
+func (r *Runtime) checkToolForWithProfile(p Principal, profileName, tool string) Decision {
+	if r == nil {
+		return allowed()
+	}
+	// ① 全局策略 + 档位（deny 优先）。
+	if d := r.checkToolWithProfile(p, profileName, tool); !d.Allowed {
 		return d
 	}
 	pols := r.principals.lookup(p)