кто на самом деле запускает агентов Python решает: кто работает, что разрешено, нужен ли approve. Rust-рантайм исполняет: пишет состояние и запускает процессы. Зачем разделили. Раньше один процесс и решал, и писал, и запускал. Если его убивали после старта контейнера, но до записи, контейнер оставался сиротой, а повторная команда запускала второй. Теперь: • единственный writer состояния: SQLite WAL, leases, цепочка аудита • команды по IPC идемпотентны: потерянный ответ не приводит к двойному запуску • после SIGKILL, таймаута или рестарта Reconcile сверяет реальные процессы и контейнеры с записями • воркеры живут в rootless Podman с SELinux и allowlist на egress И safe Rust: unsafe запрещён во всём workspace, кроме одного изолированного FFI-крейта.