docs(mcp): incorporate adversarial audit — reframe as DEFERRED, scope down, prerequisites-first

经 5 视角对抗式评审后把提案改成「audit 后合理的版本」:
- 状态改 DEFERRED + 两个显式触发条件(真实 agent 被卡 + 第二 runtime 真机验证逼出 adapter 抽象)
- §0 把唯一不可替代价值提到最前:对没装 skill 的远端写者做服务端治理强制(其余更便宜台阶都能给)
- 新增 §1.5 替代方案对比表(do-nothing / 现成 fs·git MCP server / 薄 HTTP+skill / raw git / 托管同步)
- instructions 降级为 best-effort 提示(规范标 Optional),强制语言全移到服务端硬闸
- 客户端动机从「手机端」改成真实开发者 harness;标手机消费 app 为 UNVERIFIED,不驱动 M3
- 传输措辞修正为 Streamable HTTP(老 HTTP+SSE 已弃用)
- §3.4 新增 plain-HTTP 核心 + MCP 薄壳抉择(解决 MCP 非 load-bearing、保零依赖红线)
- §4 远程访问层压缩为「真要做时的 blocker 清单」:Forbidden 扫描器缺失 / authz 层 / app 层乐观并发 / push-后-ACK / 持久审计 / 版本闸 latch / token store
- §6 路线重排:M0 引擎地基(secret 扫描器·访问控制强制·curate 可复用入口·判断半边测试) → M1 stdio 只读 spike → M2/M3/M4 全 gated
- 更正 §2.1/§5:sync.py 现状只特判 view-layer,gateway 跳过分支须新增(非「已一致」)

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01XdYUsMfBtT35THrrACuQs2

Author: wheam