feat(permissions): LP4-0 — fondations domaine de l'enforcement OS (pur)

Fondations pures (zéro I/O, zéro dépendance landlock, aucun câblage
runtime — SpawnSpec.sandbox posé mais jamais lu ⇒ zéro régression) de la
voie « airtight » des permissions, complément de la voie projection LP3.

- domain/sandbox.rs : SandboxPlan/PathGrant/PathAccess (RO|RW|EXEC),
  SandboxContext, SandboxKind/Status/Error, port SandboxEnforcer, et la
  fonction pure compile_sandbox_plan(EffectivePermissions → plan OS).
- domain/permission.rs : render_permission_summary (bloc Markdown injecté
  plus tard ; mentionne explicitement fichiers OS-enforced vs commandes
  advisory).
- domain/ports.rs : SpawnSpec.sandbox: Option<SandboxPlan> (None ⇒ natif),
  propagé à tous les sites de construction.

Sémantique de compile_sandbox_plan :
- Invariant produit : eff == None ⇒ None (rien posé ⇒ CLI 100 % native).
- Borne Landlock : seules les capabilities fichier produisent des grants
  (Read→RO, Write/Delete→RW) ; ExecuteBash reste advisory (non verrouillable
  par chemin).
- Deny-wins PAR CLASSE D'ACCÈS (RO/RW), fail-closed intra-classe : un Deny
  ne ferme que les grants de sa propre classe (un Deny Write n'ampute pas un
  Allow Read). Choix retenu pour maximiser l'autonomie des agents : on
  respecte exactement la politique pré-renseignée sans sur-restreindre, donc
  moins de blocages qui forceraient l'agent à redemander l'utilisateur.
- Globs réduits à leur préfixe statique ; grant abandonné si une barrière de
  même classe chevauche (égal/ancêtre/descendant) — sous-approximation
  conservatrice (un sandbox additif ne peut pas carver un deny sous-arbre).

Tests : 16 tests purs sur sandbox + 3 sur render_permission_summary,
cargo test --workspace 100 % vert, 0 ignored.

Reste LP4 : LP4-1 adapter LandlockSandbox + pre_exec PTY (fail-open+warning
sauf posture Deny), LP4-2 câblage application, LP4-3 composition root.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

crates/domain/src/lib.rs

@@ -49,6 +49,7 @@ pub mod ports;
 pub mod profile;
 pub mod project;
 pub mod readiness;
+pub mod sandbox;
 pub mod remote;
 pub mod skill;
 pub mod template;
@@ -119,10 +120,15 @@ pub use layout::{
 pub use events::{DomainEvent, OrchestrationSource};
 
 pub use permission::{
-    resolve as resolve_permissions, AgentPermissionOverride, Capability, CommandMatcher,
-    CommandRule, Effect, EffectivePermissions, Glob, PathScope, PermissionError, PermissionProjection,
-    PermissionProjector, PermissionRule, PermissionSet, Posture, ProjectedFile, ProjectionContext,
-    ProjectPermissions, ProjectorKey, PERMISSIONS_VERSION,
+    render_permission_summary, resolve as resolve_permissions, AgentPermissionOverride, Capability,
+    CommandMatcher, CommandRule, Effect, EffectivePermissions, Glob, PathScope, PermissionError,
+    PermissionProjection, PermissionProjector, PermissionRule, PermissionSet, Posture,
+    ProjectedFile, ProjectionContext, ProjectPermissions, ProjectorKey, PERMISSIONS_VERSION,
+};
+
+pub use sandbox::{
+    compile_sandbox_plan, PathAccess, PathGrant, SandboxContext, SandboxEnforcer, SandboxError,
+    SandboxKind, SandboxPlan, SandboxStatus,
 };
 
 pub use orchestrator::{