refactor(agent-runner): use sandbox file model

docs/agent-runner-pluginization/HOST_SDK_INFRASTRUCTURE.md

@@ -42,7 +42,8 @@ AgentRunOrchestrator
         |-- AgentResourceBuilder
         |-- AgentContextBuilder
         |-- AgentRunSessionRegistry
-        |-- PersistentStateStore / EventLogStore / TranscriptStore / ArtifactStore
+        |-- PersistentStateStore / EventLogStore / TranscriptStore
+        |-- Sandbox / workspace file tools
         v
 Plugin Runtime / AgentRunner
         |
@@ -81,7 +82,7 @@ class AgentEventEnvelope(BaseModel):
     metadata: dict[str, Any] = {}
 ```
 
-`AgentEventEnvelope` 是 Host 内部入口模型；投影给 runner 的是 `ctx.event`（PROTOCOL_V1 §5.4）。原始平台 payload 存为 raw event 或 artifact ref，不扩散到 runner 协议顶层。
+`AgentEventEnvelope` 是 Host 内部入口模型；投影给 runner 的是 `ctx.event`（PROTOCOL_V1 §5.4）。原始平台 payload 存为 raw event 或 staged file reference，不扩散到 runner 协议顶层。
 
 **当前 adapter source**：`QueryEntryAdapter.query_to_event(query)` 从 Query 生成 `AgentEventEnvelope`。
 
@@ -188,7 +189,8 @@ QueryEntryAdapter / EventRouter
           -> Host API / Store
        <- AgentRunResult stream
   -> apply state.updated to PersistentStateStore
-  -> write message.completed / artifact.created to Transcript / ArtifactStore
+  -> write message.completed to Transcript
+  -> keep current-run files and large tool outputs in sandbox/workspace
   -> render delivery or raise RunnerExecutionError
   -> AgentRunSessionRegistry.unregister(run_id)
 ```
@@ -222,19 +224,19 @@ SDK 侧本地校验只用于开发体验，host 侧 run authorization snapshot
 
 LangBot 可提供 host-owned state 让 runner 寄宿状态（conversation / actor / subject / runner / binding / workspace state），但**不是强制**。Host 只需提供：授权开关、scope key、get/set/list/delete API（见 PROTOCOL_V1 §8）、持久化 backend、审计和清理策略。外部 agent runtime 可维护自己的 session 和 memory。进程内 state store 只能作为过渡实现，不能作为正式生产语义。
 
-### 4.7 EventLog / Transcript / Artifact（事实源）
+### 4.7 EventLog / Transcript / Sandbox Files（事实源）
 
 - `EventLog`: durable append-only，保存原始事件、系统事件、工具调用、投递结果、错误。
 - `Transcript`: 从 EventLog 投影出的对话视图，用于 UI、审计和按需历史读取。
-- `ArtifactStore`: 保存大文件、多模态输入、工具大结果、平台附件。
+- `Sandbox / workspace files`: 当前 run 的上传文件、平台附件、工具大结果和临时产物。Host 负责 staging 与授权边界，runner 通过 read/write/exec 类工具按需访问。
 
 三类数据与 working context 的边界、读取约束见 [AGENT_CONTEXT_PROTOCOL.md](./AGENT_CONTEXT_PROTOCOL.md)。AgentRunner 可读取这些能力，但不被迫使用 LangBot 作为唯一记忆系统。
 
 ### 4.8 External harness resource projection
 
-Claude Code、Codex、Kimi Code 等外部 harness runner 可能不直接调用 LangBot 的 model/tool loop，而是把 LangBot 事件和授权资源句柄投影到自己的 harness 执行。Host 侧仍保持统一边界：Host 负责构造 event-first context、资源授权、state/storage、EventLog/Transcript/ArtifactStore 和审计；Host 或 binding policy 决定哪些 MCP bridge、skill-backed tool、artifact、history/state 句柄可投影给 runner；runner plugin 把 scoped projection 转成目标 harness 可消费形式；所有 LangBot 资源访问必须经 SDK runtime / `AgentRunAPIProxy` / SDK-owned MCP bridge 转发并接受 Host 校验；外部 harness 负责自己的 native session、tool loop、压缩、权限模式和 resume，但不能用 native tools 绕过 Host 授权。
+Claude Code、Codex、Kimi Code 等外部 harness runner 可能不直接调用 LangBot 的 model/tool loop，而是把 LangBot 事件和授权资源句柄投影到自己的 harness 执行。Host 侧仍保持统一边界：Host 负责构造 event-first context、资源授权、state/storage、EventLog/Transcript、sandbox/workspace 文件边界和审计；Host 或 binding policy 决定哪些 MCP bridge、skill-backed tool、sandbox path、history/state 句柄可投影给 runner；runner plugin 把 scoped projection 转成目标 harness 可消费形式；所有 LangBot 资源访问必须经 SDK runtime / `AgentRunAPIProxy` / SDK-owned MCP bridge 转发并接受 Host 校验；外部 harness 负责自己的 native session、tool loop、压缩、权限模式和 resume，但不能用 native tools 绕过 Host 授权。
 
-投影的具体形态（context 文件、resource handles、LangBot MCP gateway、state pointers）见 AGENT_CONTEXT_PROTOCOL §4.5；当前 LiteLLM Agent Platform runner 形态见 OFFICIAL_RUNNER_PLUGINS §7。发布级隔离要求见 SECURITY_HARDENING。
+投影的具体形态（context 文件、resource handles、LangBot MCP gateway、state pointers）见 AGENT_CONTEXT_PROTOCOL §4.5；当前 code-agent harness runner 形态见 OFFICIAL_RUNNER_PLUGINS §7。发布级隔离要求见 SECURITY_HARDENING。
 
 ## 5. SDK 侧协议