feat: add v2 task control and asynchronous isolated workers

docs/workers.md

@@ -1,6 +1,8 @@
 # 多模型 worker 与编排模式
 
 主 agent 使用强模型进行设计与验收，子 agent 按角色绑定较便宜的模型。
+用户配置目录的 `workers.json` 可设置所有项目的默认配置；存在工作区
+`.agent/workers.json` 时，以工作区的完整配置为准，不合并两份配置。
 在工作区创建 `.agent/workers.json`，或者通过 TUI `/agents config <JSON>`、
 WebUI 扩展面板的「模型与 worker 配置」保存同样的配置：
 
@@ -31,8 +33,54 @@ provider 必须已注册，使用其独立保存的凭据或 provider 的环境
 未绑定的角色继承主 agent；旧 `model` frontmatter 仍在原 provider 下生效。
 
 CLI `--orchestrate` / `--no-orchestrate` 可以覆盖工作区设置。开启后主 agent
-只能读取、规划、委派和验收；写文件和 shell 工具由 worker 执行。
-规划模式和只读限制继续约束子 agent。多个只读任务可并行，可写任务串行。
+优先委派适合拆分的任务，但保留获授权的写文件和 shell 工具；简单操作可以直接执行。
+规划模式和只读限制继续约束子 agent。旧 `task` 的只读调用可并行，可写调用串行。
+
+## V2：任务控制与异步执行
+
+默认工具配置增加 `worker_start`：`kind=read` 路由到 `explore` 角色；
+`kind=edit` 路由到 `general`，必须提供 `files` 路径数组，在独立 Git worktree 中编辑；
+`kind=external` 使用受保护的串行资源。模型仍由上述 profiles/roles 配置决定，
+例如 explore 绑定 DS Flash、general 绑定 DS Pro，主 agent 使用 Kimi Code。
+旧 `task`、worker 续接和预算配置继续兼容。
+
+异步调用返回 `job_id`。`job_read` 查看状态，`job_wait` 最多等待 30 秒；
+主循环在未完成的作业上等待，不通过反复请求模型轮询。
+主 agent 的默认 `run_shell` 在 250ms 内未结束时也返回作业状态。
+`effect=workspace` 表示允许安全中断的工作区命令；未声明的外部命令默认受保护，
+涉及 fastboot/adb/flash 的命令始终按受保护作业处理。这是调度约定，不是安全认证。
+
+新消息在执行中发送时会作为纠正指令：任务版本递增，旧版本后续工具调用被拒绝，
+可中断作业收到取消请求；已完成的副作用不会回滚。受保护外部操作不因普通取消被杀死，
+只有用户明确强制停止或程序关闭时才强制中断。不要把强制停止用于正在刷写的设备。
+状态明确记录取消来源，不能把 instruction_changed/user 等同于 timeout。
+纠正后只等待当前任务版本的作业；旧版本受保护作业仍在后台时，任务报告 partial，
+不把新指令卡在旧操作上，也不谎报旧操作已完成。
+
+TUI：`/task state`、`/task readonly`、`/task write`、`/task direct`（禁止委派）、
+`/task auto`、`/task pause`、`/task resume`、`/task cancel JOB_ID`、`/task force JOB_ID`。
+暂停/恢复是权限控制，不会重放操作；恢复后发送下一条指令继续。
+WebUI `/task` 打开任务面板；Qt 桌面/Android 共用 Tasks 面板。
+面板可查看作业输出、切换约束、取消作业、预览和集成编辑结果；Qt 还提供 worker JSON 配置。
+HTTP 对应 `GET/POST /api/task`、`POST /api/jobs/cancel`、`POST /api/worktree`。
+
+编辑 worker 的 `worker_diff` 预览增量，`worker_integrate` 执行三方合并。
+基线包含用户已有 tracked 修改及显式作用域内的 untracked 输入，使用私有 index，
+不会暂存、提交或重置用户分支。集成冲突时原文件和用户 index 不变，worktree/补丁保留。
+非 Git 根目录使用直接执行或兼容 task。worktree 不是恶意 shell 的完整安全边界；
+可用时编辑 shell 使用系统 sandbox，集成时再检查 tracked 修改范围。
+
+任务结果使用 completed/partial/blocked/cancelled，存在运行作业、最近动作失败或缺少
+必要工具证据时不接受 completed，并最多要求一次模型修正；这不是语义正确性的证明。
+长输出写入证据文件，`evidence_read` 按 ID、字节偏移和长度检索，避免重跑命令。
+默认活跃上下文预算上限为主 agent 48k、worker 24k，保留稳定系统/工具前缀。
+会话旁的 `.task-v2.json` 保存状态和有限事件历史，重启只展示历史，不重启外部操作。
+当前每个运行时最多保留 64 个热作业槽；已结束的槽可复用，旧状态和输出保留为文件，
+可继续按 job ID 查询。达到 64 个未结束作业时明确拒绝新作业。
+
+本地验证：`tests/test_runtime` 覆盖版本失效、只读/委派控制、完成证据、异步等待、
+保护取消、恢复配置、私有 index 与三方集成冲突；`tests/test_subagent` 验证模型路由和预算。
+真实 API 的费用、延迟、缓存命中提升需要运行下面的付费评测，不从模拟测试推导。
 
 ## 任务和续接