fix(agent): align CodeBuddy full access permissions

[mt-hub8]

背景

CodeBuddy 通过标准 ACP 成功切换到 fullAccess 后，仍可能发出残留的 session/request_permission。Tutti 在没有精确自动决策时会将其投影为人工授权，导致完全访问任务被重复弹窗打断。同时，CodeBuddy 的多个运行时权限模式共享通用语义标签，界面中会出现重复且边界不清晰的“完全访问权限”。

改动

• 让 Standard ACP 自动权限层只处理普通执行授权
• 识别并保留 AskUserQuestion、ExitPlanMode 等用户交互，不替用户自动选择
• 增加精确 runtime ID 范围测试，确保 fullAccess 的自动决策不会扩散到 bypassPermissions
• 为 CodeBuddy 提供 provider 专属权限模式文案，区分“不再询问”“跳过权限提示”“完全访问权限”和“计划模式”
• 补充扩展契约与排障文档

行为边界

• 本 PR 不增加 CodeBuddy provider 特判，继续使用标准 ACP 和签名扩展契约
• 只有扩展精确声明 automaticDecision 的运行时模式才会自动决策
• 用户提问和工作流决策始终保留人工交互
• bypassPermissions 及其他权限模式保持原有 provider 行为
• 完整上线仍需配套发布 agent-extension-codebuddy 2.0.4，在精确的 fullAccess 模式声明 automaticDecision: approved

验证

• pnpm check:changed -- --base upstream/main --push-ready
• 19 条门禁全部通过，包括 Go lint/test/build、AgentGUI typecheck/test、i18n、边界检查和 npm pack
• pre-commit 格式化及 staged 边界检查通过

文档影响

已更新 Agent Extensions 架构说明和 Agent Provider Setup 排障指南，记录自动权限决策的安全边界及 CodeBuddy fullAccess 排查方法。