Record the P4 workflow rulings

Why: The harness proposal still said the script decision was deferred, after the implementation chose both declarative workflows and two dynamic forms.
Evidence: The P4 section now states routing order, copy-on-start, step and retry caps, and the script switch.
Impact: Documentation only.
Refs: feature/agent-harness-p4
Co-authored-by: Cursor <cursoragent@cursor.com>

docs/proposals/2026-10-01-agent-harness.md

@@ -36,7 +36,7 @@
 | 异常 | 同名同参数连续 3 次给警告，不直接终止；输出被截断最多续写 3 次，续写提示不入库 | 公开文档未给出同等细节 | 采纳警告与续写 |
 | 子代理 | Markdown frontmatter 定义；调用方不能指定模型；嵌套深度从工具白名单上限制为 1；后台完成用通知回传，多条合并 | 同形。子代理只回传最终结果，中间过程不进父上下文 | 采纳 |
 | 评审 | expert 的 critic 用 JSON 判定，可按节点重开，每层有上限 | `code-review` 插件：并行找问题，每条再独立验证，未通过的丢弃 | 采纳「并行评审 → 逐条验证 → 过滤 → 汇总」 |
-| 工作流 | 阶段产物落盘，下游只传路径；确定性检查优先于模型自报；人工升级以单个节点为粒度 | feature-dev：阶段之间有人工门禁 | 采纳产物落盘与确定性检查优先。脚本化动态工作流留到 P4 再决定 |
+| 工作流 | 阶段产物落盘，下游只传路径；确定性检查优先于模型自报；人工升级以单个节点为粒度 | feature-dev：阶段之间有人工门禁 | 采纳产物落盘与确定性检查优先。P4 同时做声明式工作流、模型生成的步骤和沙箱脚本 |
 
 ## 3. 目标
 
@@ -99,7 +99,13 @@ backend 适配
 
 ### P4 意图到工作流
 
-给 `WorkflowDef` 补执行器，由引擎驱动 `prompt` / `tool` / `hitl` / `artifact` / `card` 步骤，而不是只在插件清单里列出。用 `IntentID` 把命中的意图接到工作流。critic 可以按节点打回重做，每一层都有次数上限。是否引入脚本化的动态工作流，留到 P4 评审时决定。
+执行器驱动 `prompt` / `tool` / `hitl` / `artifact` / `card` / `script`。三种来源共用同一步骤循环：插件声明的工作流、模型生成并经过同一套校验的步骤、以及在会话沙箱里跑的 Python 脚本。
+
+- 路由先走命令总线，再看意图绑定的工作流，最后才是普通回合。小队入口不提供 `run_workflow`。
+- 工作流启动时拷贝定义。插件卸载不影响已经在跑的那一份。
+- 声明式工作流最多 20 步。模型生成的最多 8 步，不能含 `script`，执行前必须经用户确认。critic 每步最多重试 3 次、缺省 1 次，整条工作流最多重试 6 次。无法解析的 critic 结果按不通过处理。
+- 脚本最多回调 50 次，单行请求不超过 1MB，超时缺省 600 秒、最长 1800 秒，墙钟时间包含等待人工和子代理。开关 `runtime.workflowScripts` 缺省关闭。模型写的脚本运行前必须确认；插件自带的脚本不需要确认。
+- 脚本以当前用户身份运行，工作目录是会话沙箱，没有网络或文件系统隔离。回调一律经过工具执行入口，不能调用 `run_python`、`run_shell`、`run_workflow` 和派发类工具。
 
 ## 5. 不在本文范围