Record the code-orchestration task card

Why: The batch needs an explicit authorization, the default-off switch, and the host limits before the libraries change.
Evidence: The card names the caps, the forbidden tools, and the MCP behaviors that stay out of scope.
Impact: Reviewers can match the later commits to this card. No code change.
Refs: feature/code-orchestration
Co-authored-by: Cursor <cursoragent@cursor.com>

.task/feature-code-orchestration.md

@@ -6,11 +6,12 @@
 
 - 权威仓：ssh://git@git-ssh.u1680832.nyat.app:31411/weichen/Agent-System-Dev.git；目标分支：main；R0（initial_base_sha）= 37a91142f2d4a91dc3e0a83296c05ee3aa0fa92e
 - 工作区：/home/weichen/projects/Agent-System-Dev-wt-feature-code-orchestration（worktree）；分支：feature/code-orchestration
-- 授权与交付终点：<本次允许的动作与终点；未授权事项写明>
+- 授权与交付终点：实现批次 8（代码编排与 MCP）。允许改 agent-native、agent-squad（透传开关）、backend 与 Dev 指针；经 Gitea PR 合入 main 后回收 worktree。不引入 pi-durable。不把代码编排默认打开。
 
 ## 目标与非目标
 
-<预期结果、受影响入口/模块/契约；明确不做什么。>
+- 目标：`run_tool_script` 的 Python 宿主下沉到 `runtime/codeorch`。限额为 50 次调用、给脚本的单次结果 1 MiB、给模型的输出 16k 字符（全文落文件）、超时缺省 120 秒且最长 600 秒。禁止再调用 shell、python、命令、自身、派发和工作流工具。出错时报告已经执行的调用。开关 `runtime.codeOrchestration` 默认关。工作流 script 步骤改用同一宿主，原有确认和超时上限不变。工具可声明直接或延迟暴露；延迟工具不进清单，经 `tool_search` 与固定 schema 的 `call_tool` 调用。MCP 后台连接，stdio 维持单读循环，失败重连一次，HTTP 关闭时终止会话，`input_required` 交给 AskUser。项目配置可覆盖启用状态和暴露级别。
+- 非目标：MCP OAuth、进程级钩子、绕过确认的模式、把代码编排默认打开。
 
 ## 同步记录