维护者确认：#3933 Dependabot 升级 sharp 0.35.3 → 0.35.4

PR https://github.com/makecindy/cindy/pull/3933 由 Dependabot 把 `sharp` 从 0.35.3 升到 0.35.4，触及 `apps/desktop`、`packages/browser-control-runtime`、`packages/lizi-mcps` 与 lockfile。

维护者确认门把这次改动判为安全敏感（第三方依赖变更）。sharp 带原生二进制，会进入 Desktop / 浏览器控制运行时的装机面，需要维护者明确确认：

1. 这是既有依赖的 patch 升级，还是应视为新的原生能力面；
2. changelog / advisory 是否有需要跟进的安全或行为变化；
3. 是否接受本轮 lockfile 与三个 package.json 一并合入。

确认方式：直接在 PR 上 Approve。若要改，请 Request Changes，作者改完后再 Approve 即放行。普通评论或摘标签不构成通过。

---
关联 PR:#3933(作者 @app/dependabot);本 issue 由 review-pr 流程自动创建,用于先讨论该 PR 涉及的安全敏感改动,维护者确认后 PR 会恢复推进。

Review PR #3933 and the dependency changes in apps/desktop, packages/browser-control-runtime, packages/lizi-mcps, and the lockfile. First check sharp 0.35.4's changelog and security advisories, then verify whether the patch upgrade is acceptable; done means approving the PR or requesting changes from the author.

Written by the indexing model from the issue text.