docs: record HWLAB tool secret rollout boundary

docs/MDTODO/agentrun-runtime-reliability.md

@@ -175,3 +175,7 @@
 ## R15 [completed]
 
 解决 `lab-dev.hwpod.com` Workbench 在 trace `f04d1fa8a6eecf03a5a306840d502454` 返回 `admission_promotion_unavailable`：精准纠正提交 `1a070a9d` 将 development 错接 `nc01-release` 的 YAML 路由，使 NC01/v03 使用 AgentRun dev lane；保留统一管理员密码迁移，API key 继续作为独立凭据并通过受控 Secret 分发适配，完成自动交付和公网 Workbench 新 `hi` turn 验收，完成任务后将详细报告写入[任务报告](./details/agentrun-runtime-reliability/R15_Task_Report.md)。
+
+## R16
+
+继续解决 [UniDesk #2154](https://github.com/pikasTech/unidesk/issues/2154) 的 HWLAB 双环境 AgentRun 工具凭据投影：development 已通过显式 `codeAgentRuntime.toolSecretNames`、native runtime GitOps postprocess/verify 和公网 Workbench fresh `hi` turn 完成 L0/L2 回归；待用户对本次 L3 明确授权后，通过 release PR 自动滚动 production，确认 `lab.hwpod.com` 使用 production AgentRun lane 的显式工具 SecretRef 并得到 terminal Final Response。禁止恢复旧 Secret、fallback、人工 PipelineRun、mirror sync 或 Argo sync，完成任务后将详细报告写入[任务报告](./details/agentrun-runtime-reliability/R16_Task_Report.md)。

docs/reference/hwlab.md

@@ -110,6 +110,10 @@ HWLAB v0.2/v0.3 仓库内 `docs/reference/spec-*`，以及已收编的 `cloud-wo
   - 唯一来源由 `config/hwlab-node-lanes.yaml#lanes.<lane>.targets.<node>.codeAgentRuntime.apiKeySourceRef/apiKeySourceKey` 声明；
   - 目标 Secret 名和 key 由同一 `codeAgentRuntime` 声明，并通过 `hwlab nodes secret ensure` 受控分发；
   - 禁止回退到 `/root/.config/hwlab-<lane>/master-server-admin-api-key.env` 等 lane 级隐式来源，也不得从运行面 Secret 反解。
+- HWLAB Code Agent 的 AgentRun 工具 Secret 投影规则：
+  - 工具 Secret 必须由选中 target 的 `codeAgentRuntime.toolSecretNames` 显式声明，应用和 renderer 不能回退到其他 lane；
+  - PaC source artifact 的实际投影路径是 repo-owned native runtime GitOps postprocess/verify helper，新增或修改运行时配置字段时必须先在 L0 验证 native helper 的 render 与 verify；
+  - L0 通过后必须到 development lane 核对 Deployment/Pod env 和原 Workbench 终态，只修改 TypeScript renderer、只看到 PipelineRun 成功或只看到 Secret 存在，都不能证明该字段已进入 runtime。
 - 旧公网端口不是浏览器验收入口；内部 k3s service 仍可使用 `6667` 作为服务端口。
 - 不要把 master 上的其他 UniDesk frontend/backend-core 路径误判为 HWLAB 前端。