Sandbox-Runner mit bubblewrap (#654) - noch ungeprueft unter Linux

Jede Codeausfuehrung ausserhalb des Hauptprozesses: eigene Namensraeume
(Mount, PID, Netz nur loopback, User ohne verschachtelte), nur der
Arbeitsbereich unter /work beschreibbar, scripts/ darin schreibgeschuetzt,
keine Umgebung und keine Deskriptoren des Hauptprozesses, alle Capabilities
weg, no_new_privs, seccomp-Sperrliste (eigene BPF, x86_64 und arm64),
Grenzen fuer Zeit, Speicher, Prozesse, Dateigroesse und Ausgabe. Unter
Windows oder ohne bwrap: keine Ausfuehrung, mit Grund im Protokoll.

Erster Nutzer: ffmpeg im SocialMediaManager (fremde Mediendateien). yt-dlp
braucht Netz und folgt mit dem Egress-Proxy (#655).

Die Ausbruchstests (SandboxEscapeTests) laufen nur unter Linux mit bwrap.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

src/ClawdDotNet.Core/Tools/AgentToolContext.cs

@@ -49,6 +49,9 @@ public sealed record AgentToolContext(
     /// <summary>#689: The desk for escalations, conflicts and decisions. <c>null</c> outside the engine.</summary>
     public Cases.ICaseDesk? Cases { get; init; }
 
+    /// <summary>#654: Where code runs — never in the main process. Unavailable under Windows.</summary>
+    public Sandbox.ISandboxRunner? Sandbox { get; init; }
+
     /// <summary>#717: Special budgets — set up by an approved request_budget.</summary>
     public Budget.ISpecialBudgetRepository? SpecialBudgets { get; init; }