插件能力与会话接入

插件由原生宿主选择

启动器通过 plugin store 与受管理 selection 提供插件。ACP 元数据可以引用宿主已提供的选择，不能自选文件系统根来装载任意代码。selection 绑定 ID、generation、revision 与 lease，已撤回发布不能继续当作可用。

一次发布可提供 Tool、MCP、Skill、Agent、工作流或 UI 能力，具体以准入成功的投影为准。包目录有文件不代表所有能力都已执行。客户端通过 tooling 清单显示可用项和拒绝原因。

原生插件工具运行受管理入口，核对包内路径、工作区绑定、参数和进程结果。MCP stdio 的命令必须与受管理入口一致；依赖包外 runtime 的声明进入 ExternalRuntime 状态，不会仅凭声明启动外部命令。

stdio 或 HTTP MCP 路线按当前配置和发布合同准入。session/new 的 mcpServers 仍受宿主信任与范围检查，不能通过会话消息恢复一个启动时明确拒绝的服务器。

Skill 是供模型采用的操作说明；它本身不授予执行权限。Agent 定义、工作流和 UI 同样需要宿主 capability provider。名称相同不能证明来源相同，替换 generation 时保留原 publication 身份。

asterHost.assets 接收宿主明确声明的绝对资产根。代理重新扫描这些根，不相信元数据中预填的目录清单。模型不能用 prompt 扩大根，也不能把外部页面的路径当作本机已授权资产。

selection 更新在新能力目录 generation 中准入；一个失败包不应该被伪装成已装载。已准入 Run 保留它冻结的能力与 lease，新选择用于后续 Run。关闭和取消时释放原 lease、MCP 连接与工具进程，不能仅删除目录项。

先安装一项无副作用能力，查询 tooling，完成调用后检查原来源。随后测试包撤回、入口越界、重复名称、外部 runtime 缺失、MCP 断开和模型切换。旧 Run 不应突然换到新包代码，新 Run 不应继续使用已撤回选择。