[Feature]: 为 Box Runtime 增加本机进程（host）后端，降低本地使用门槛

[huanghuoguoguo]

这是一个？

新功能

详细描述

目前 Box Runtime 仅支持 Docker/Podman、nsjail 和 E2B。配置中的 box.backend: local 仍然依赖 Docker 或 nsjail；在没有这些环境的机器上，用户无法直接体验依赖 Box 的代码执行、文件工具、Skill 和 stdio MCP 能力。

希望新增一种本机 Box 后端，让 Box Runtime 可以直接使用所在机器执行命令，从而降低本地开发和个人可信环境中的使用门槛。

该模式需要明确标识为非沙箱模式，仅供用户主动选择，不应自动替代或降级现有 Docker、nsjail、E2B 后端，也不能用于需要安全隔离的生产或 Cloud 场景。

[huanghuoguoguo]

实现方案

总体设计

在 langbot-plugin-sdk 新增显式的 host backend，复用现有 BaseSandboxBackend、Box session、RPC 和 managed-process 生命周期；不修改 Box action/model 协议。

box:
  enabled: true
  backend: host

host 表示运行 Box Runtime 的机器。它永远不参与自动选择，也不加入现有 local 的 Docker → nsjail fallback。

SDK 改动

1. 新增 HostProcessBackend，使用 Python 标准库异步 subprocess，不新增依赖。
2. 实现 is_available、session start/stop/alive、exec、managed process。
3. exec/managed process 使用独立进程组；超时、取消、session stop 和 Runtime shutdown 必须回收整棵进程树。
4. 复用现有 stdout/stderr 限制、执行结果和 session TTL 逻辑。
5. 子进程只继承最小系统环境及 BoxSpec.env，不得继承 Box control token、云密钥等 Runtime 环境变量。
6. 将 /workspace、workdir/cwd 和 extra mounts 映射到实际 host path；重点覆盖 /workspace/.skills/<name>。不得依赖全局 /workspace symlink。
7. readiness 明确报告 namespace、mount、network、cgroup、quota 等硬隔离能力为 false。
8. admission.required=true/Cloud 管理模式拒绝 host；WebSocket host 控制必须有有效 control token。
9. MVP 先支持具有 POSIX shell 的 Linux/macOS；Windows shell/path 语义另行设计或通过 WSL 使用。

LangBot 联动

1. config.yaml 和相关文档加入 host，保留 local 原语义。
2. 更新“仅支持 Docker/nsjail/E2B”的状态、错误和工具提示。
3. Box 状态明确显示 host 是不安全的本机执行模式。
4. 保证 /workspace 工具语义在 host backend 下可用，必要时根据 backend 调整执行路径提示，但不改变其他 backend。

安全边界

Host backend 不是 sandbox。命令会以 Box Runtime 的系统用户权限执行，无法兑现 image、network: off、read_only_rootfs、CPU/内存/PID/存储配额等隔离语义。

实现必须：

• 只允许显式选择，不能自动 fallback；
• 在启动日志、状态和文档中持续警告；
• Cloud/admission fail closed；
• 推荐使用一次性目录和低权限系统账号；
• 不把 allowed mount roots 描述成宿主进程的安全边界。

测试计划

SDK：

• backend selection：host 可显式选择，local/默认永不自动选择 host；
• exec：cwd、env、exit code、stdout/stderr、超时、取消与子进程回收；
• session TTL/stop/shutdown；
• managed process attach/cleanup；
• workspace 与 extra mounts/Skill mount 路径映射；
• 敏感环境变量不泄漏；
• readiness 和 Cloud/admission 拒绝。

LangBot：

• 原生工具：exec → write/read/edit → glob/grep；
• Skill：create → register → activate → exec；
• 至少一个 stdio MCP managed-process 流程；
• Docker、nsjail、E2B 现有测试不回归。

实现顺序

1. 从 SDK 最新默认主分支创建特性分支，实现 backend 和单测。
2. 从 LangBot 最新默认主分支创建同名特性分支，联动配置/提示/测试。
3. 将本地 SDK 可编辑安装到 LangBot venv，使用 uv run --no-sync 启动。
4. 跑定向单测及本机 host backend 实际流程，再按结果补齐回归。