三层回退恢复机制（L0写前留档/L1恢复梯子/L2离线回滚）+ guard 父守护

- L0: files 插件写受保护系统路径(/etc 等)前自动留档，AbstractBeforeWrite 到 data/file_baseline
- L1: failback 受限 worker 执行恢复梯子 probe→还原DNS/proxy→还原LLM配置+ReloadFromConfig→probe，N轮有界
- L2: tracker changeset 持久化原文 blob，guard 离线 RollbackFromDisk 回滚 agentfs；SystemSnapshot 支撑
- guard 父守护: 心跳 IPC(PING/ACK unix socket, 文件心跳回退)、失败计数、退出码协议(42/43/44)、最后手段
- 发行版路径适配: system.protected_paths/network_paths 可注入，默认面向主流 Linux
- Windows 兼容: guard.go/failback.go 加 //go:build linux, guard_windows.go 提供 no-op 桩
- 修复: guard.yaml last_resort 键冲突、changeset Content 不落盘导致离线回滚丢原文

Build 全绿, vet 干净, system/recovery/ipc/tracker 单元测试全过

internal/ipc/ipc_test.go

@@ -0,0 +1,67 @@
+package ipc
+
+import (
+	"testing"
+	"time"
+)
+
+func TestPingAck(t *testing.T) {
+	dir := t.TempDir()
+	ok := true
+	srv := NewServer(dir, func() *Status {
+		return &Status{PID: 123, Boot: "normal", UptimeSec: 42, LLMOK: &ok, Tools: 5, LastDiag: "diag:network"}
+	})
+	if err := srv.Start(); err != nil {
+		t.Fatalf("Start: %v", err)
+	}
+	defer srv.Stop()
+
+	cli := NewClient(dir)
+	st, err := cli.Ping(2 * time.Second)
+	if err != nil {
+		t.Fatalf("Ping: %v", err)
+	}
+	if st == nil {
+		t.Fatal("nil status")
+	}
+	if st.PID != 123 || st.Boot != "normal" || st.Tools != 5 {
+		t.Fatalf("status mismatch: %+v", st)
+	}
+	if st.LLMOK == nil || !*st.LLMOK {
+		t.Fatal("LLMOK should be true")
+	}
+	if st.LastDiag != "diag:network" {
+		t.Fatalf("LastDiag = %q", st.LastDiag)
+	}
+}
+
+func TestPingTimeout(t *testing.T) {
+	dir := t.TempDir()
+	// 未启动 server → 立即超时
+	cli := NewClient(dir)
+	start := time.Now()
+	_, err := cli.Ping(500 * time.Millisecond)
+	if err == nil {
+		t.Fatal("expected error when no server")
+	}
+	if time.Since(start) > 3*time.Second {
+		t.Fatal("timeout took too long")
+	}
+}
+
+func TestServerNoStatusFunc(t *testing.T) {
+	dir := t.TempDir()
+	srv := NewServer(dir, nil)
+	if err := srv.Start(); err != nil {
+		t.Fatalf("Start: %v", err)
+	}
+	defer srv.Stop()
+	cli := NewClient(dir)
+	st, err := cli.Ping(2 * time.Second)
+	if err != nil {
+		t.Fatalf("Ping: %v", err)
+	}
+	if st != nil {
+		t.Fatalf("expected nil status when no status func, got %+v", st)
+	}
+}