docs: 跟踪 Artificer 凭据切换阻塞

docs/MDTODO/agentrun-runtime-reliability.md

@@ -65,6 +65,9 @@
 #### R4.1.1 [in_progress]
 
 解决 [UniDesk #1820](https://github.com/pikasTech/unidesk/issues/1820)：对齐 cleanup-runners 只读 observer 与 AgentRun manager retention 的终态 claim 分类，默认有界披露 terminal-run-stale-claim、repairKind 和一致的 candidate/protected 计数；manager 保持唯一回收 authority，禁止增加删除入口或第二事实源，完成任务后将详细报告写入[任务报告](./details/agentrun-runtime-reliability/R4.1.1_Task_Report.md)。
+### R4.2
+
+解决 [AgentRun #284](https://github.com/pikasTech/agentrun/issues/284)：由 manager 以租约/fencing token 阻断目标 provider profile 的新 runner admission，统一观察既有 runner，并用 Kubernetes UID/resourceVersion CAS 原子提交 Provider Secret；幂等返回 no-op/blocked/applied，切主、租约过期、runner 状态变化或 CAS 冲突均 fail closed。待 #324 合入后由原生子代理基于最新 v0.2 实现，禁止 Artificer 递归自修复、UniDesk check-then-act、Pod-only 授权、手工 Secret patch 或人工 CI/CD，完成任务后将详细报告写入[任务报告](./details/agentrun-runtime-reliability/R4.2_Task_Report.md)。
 ## R5 [in_progress]
 
 完善 Artificer AipodSpec、primary workspace、resource bundle 物化与业务 turn admission，使声明式源码快照、能力 bundle 和失败可见性形成单一合同，完成任务后将详细报告写入[任务报告](./details/agentrun-runtime-reliability/R5_Task_Report.md)。

docs/MDTODO/artificer-runtime-capabilities.md

@@ -9,7 +9,7 @@
 
 ### R1.1 [in_progress]
 
-在 [UniDesk #1846](https://github.com/pikasTech/unidesk/issues/1846) 将 gpt.pika 的 auth.json/config.toml 唯一 sourceRef 改为 /root/.codex/*.pika，YAML plan/sync 只披露 presence/fingerprint，缺失 fail closed，完成任务后将详细报告写入[任务报告](./details/artificer-runtime-capabilities/R1.1_Task_Report.md)。
+在 [UniDesk #1846](https://github.com/pikasTech/unidesk/issues/1846) 将 gpt.pika 的 auth.json/config.toml 唯一 sourceRef 改为 /root/.codex/*.pika；plan/sync 默认视图显示精确 sourceRef 与 source/effective profile，config.toml 同步前验证显式 provider/base URL 且不输出值，activation fence blocked 时不提示 --confirm，缺失或不安全配置 fail closed，完成任务后将详细报告写入[任务报告](./details/artificer-runtime-capabilities/R1.1_Task_Report.md)。
 
 ### R1.2 [in_progress]