feat(runtime): persist actual model and tool execution facts

本票由 [M1 交付汇合](https://github.com/AgoraIO-Extensions/agent-infra/issues/150) 已确认的新增范围建立，当前为 `needs-triage` 的实施契约候选，不进入既有冻结执行 snapshot。主责：LichKing-2234；执行方式、资源窗口与 Start/Target 尚未确定。开始实现前须完成候选权威文档的跨系统对齐、适用评审与合入，回读全部原生依赖，并在本票确认执行准入。文档票关闭不单独授予执行权限。

## Problem

Platform 当前关联 ID、过程摘要与工程遥测不能证明实际模型/工具操作。本票交付单一 Runtime 事实生产与 Worker 持久接收契约，成为任务详情、遥测、审计和 Eval 的共同事实来源。

## Scope

- 在现有 RuntimeHost/Bridge/Driver 与实际模型传输、原生工具执行边界采集可信事实，发布唯一版本化 Zod Schema；原生协议帧、整体 Turn 耗时、日志反解析和模型自报不作为实际调用证据。
- 每项事实绑定原 Execution、稳定操作及尝试引用和 adapterEventKey，保存实际开始/结束/失败或未知、父操作、真实时间/已确认耗时、模型/配置和工具标识及可得用量；缺失或不适用明确表示，不填零、猜测成功或重复计算重放。
- 执行侧在实际模型/工具外部操作开始前可靠持久化意图，沿原操作保存结果/未知并支持恢复；意图失败阻止尚未开始的动作，可能发生后的丢响应或保存失败不自动重发副作用。
- Worker 在同一事务保存规范化事件及必要平台审计后确认 Runtime 游标；未确认事实保留并重试保存，不重新执行操作。遥测导出故障与 durable intent/audit 故障分开处理，正文、附件、思考、调用证明及凭证不进入事实元数据。
- 四个标准 Driver 逐一接入同一公共契约，保留各自模型配置、原 Session、取消/恢复和隔离。此项是新增观测能力，原 Claude/ACP/Pi core conformance 的完成不能自动算作本票完成；与现有 Driver 负责人串行整合共享文件。
- Connection 继续独立直连；只保存由受信实际工具执行和 Connection 原调用核实的关联引用，不创建代理、assertion、policy 或状态/审计投影。具体客户端/关联契约消费 #432；联合真实调用链由原联合验收入口验证，缺失关联保持未核实。
- 将契约与受控消费场景交接给 #192 的执行详情、#441 的遥测和 Eval；不在本票重建前端页面、OpenTelemetry exporter 或评分系统。自定义及 self-managed 不因声明自动开放采集能力。

## Acceptance criteria

- [ ] **AC-1:** 唯一公共 Schema 覆盖稳定操作/尝试/事件、可信来源、实际时间/状态、模型配置/工具及可得用量；Worker、审计与消费者使用同一规范化事实，无第二套日志解析或自报状态权威。
- [ ] **AC-2:** Codex、Claude、OpenCode/ACP 和 Pi 各自在真实模型及受控工具路径产出可关联的开始、终态、耗时和可得用量；缺失信息明确标记，整体任务耗时或自报 callId 不能冒充实证。
- [ ] **AC-3:** 意图提交前后、实际发送/响应前后及结果保存失败均有崩溃一致性验证；未开始动作被阻止，可能已发生动作保留 unknown 并核实原操作，不盲重发。
- [ ] **AC-4:** 事件/必要审计提交与 Runtime cursor 确认之间的断线、崩溃及重放不丢记录、不重复操作/尝试计数，原 Session、generation/fence/barrier 和取消不变量保持。
- [ ] **AC-5:** Connection 关联只来自可信实际调用，任意相同字符串、摘要或跨 Execution 引用不能绑定；两侧查询授权互不继承，缺失/未知不伪造成功，不保存 Connection 状态/审计投影。
- [ ] **AC-6:** 实际四模板、跨主体/会话隔离、能力缺失及 exporter 关闭/故障场景有可回读证据；采集故障不改写业务结果，必要审计故障不返回虚假成功，合成敏感哨兵不泄漏。

## Validation

- 对照 PRD §§9、13–14、16，工程 Spec §§13、18–19 和 Runtime HLD §§8.2、8.5、9、11。
- 在绑定源码、不可变镜像/配置和 Native 版本的四模板环境中触发真实模型与受控工具，核对实际调用及持久记录；原生层隐藏且不可可靠采集的尝试必须作为未通过项，不能以 verbal DENIED 或 SDK mock 补证。
- 故障注入覆盖意图、发送、响应、事件/审计事务、cursor 确认和进程重启；跨主体/执行、重复/伪造关联与合成敏感字段使用负向测试。
- 复用正式核心/隔离 conformance，执行 Consumer 契约回归及 AGENTS.md 全部检查；记录当前提交独立双轴评审与真实环境结果。

## Blocked by

- #476
- #479
- #432
- #404
- #438
- #439

## Authority

- 产品输入：[平台 PRD 候选](https://github.com/AgoraIO-Extensions/agent-infra/blob/2eb2762b889a27372c259039d27279cf646c5b1e/docs/prd/PRD-agent-platform-M1.md)。
- 工程输入：[工程 Spec 候选](https://github.com/AgoraIO-Extensions/agent-infra/blob/7f3b2083d44191ab4b280d7eb8222d7785937b8e/docs/architecture/SPEC-agent-infra-M1-engineering-architecture.md)、[Runtime HLD 候选](https://github.com/AgoraIO-Extensions/agent-infra/blob/5da6fff274ffc7a7ee36ae3ebd61d6100ccc9571/docs/architecture/HLD-agent-runtime-M1.md)。
- 上述固定版本用于评审和追溯；实施前消费合入后的权威版本，差额在本票复核，不能用历史候选覆盖新结论。