docs(plans): cancel bubblewrap sandbox, retire compose/Dockerfile skeleton

Kai confirmed the host is a dedicated LLM VPS where pi already runs as a child
of the systemd --user service; the systemd sandbox (ProtectSystem=strict,
ProtectHome=read-only, NoNewPrivileges, ...) is the isolation ceiling and no
extra sandbox complexity is wanted. bubblewrap is cancelled.

compose.yaml / Dockerfile were never runnable (no pi, no ffmpeg, env_file
pointing at a missing file) and are deleted; P2-4 is updated to reflect that.

docs/plans/2026-08-curator-agent-refactor.md

@@ -109,7 +109,7 @@ agent loop，于是 `AGENTS.md`/`SKILL.md` 大量篇幅在用散文对抗一个
 | P2-1 | `--mode json` 未使用；仍用 `--print` + 贪婪正则捞 JSON |
 | P2-2 | `--system-prompt`/`--append-system-prompt` 未使用；角色塞在 user message 里，是 mode confusion 成因 |
 | P2-3 | `--approve` 信任全部 project-local 文件，workspace 应对服务只读（`ReadOnlyPaths=`） |
-| P2-4 | `pi_bin` 硬编码 `/home/claw/.npm-global/bin/pi`；Dockerfile 无 pi 也无 ffmpeg；`compose.yaml` 的 `env_file: curator.env` 指向不存在的文件 |
+| P2-4 | `pi_bin` 硬编码 `/home/claw/.npm-global/bin/pi`（已加 `CURATOR_PI_BIN` 覆盖）；Dockerfile 无 pi 也无 ffmpeg、`compose.yaml` 的 `env_file` 指向不存在文件 → **两文件已删除**，host systemd 部署，不容器化 |
 | P2-5 | `content[:80000]` 是字符数非 token；中文近 1:1，等于约 80 k token × `thinking high` |
 | P2-6 | `web.py` 全路由零鉴权零 CSRF，`config.py:72` 默认 `0.0.0.0`；`web.py:696-711` 把上传 EPUB 以 `text/html` 同源返回、iframe 无 `sandbox`、无 CSP（**本轮范围外，已登记**） |
 
@@ -427,9 +427,15 @@ golden 录制约 20 分钟真实模型 + 真实只读适配器（写路径桩掉
 
 - 反向补齐 memo-inbox：它是 `deploy = "mirror"`、零行为变更约束的**在用服务**，
   改动风险高于收益，且其隔离缺口此前已登记、非回归。
-- `bubblewrap` 内核级沙箱：独立且较大的工程，需单独一回合。
+- memo-inbox `telegram-gateway/` 移出 agent cwd：与上项耦合。
-- memo-inbox `telegram-gateway/` 移出 agent cwd：与上两项耦合。
+
-- `compose.yaml` / `Dockerfile` 清理：部署形态决策，非安全项。
+**取消**：
+
+- `bubblewrap` 内核级沙箱：**经 Kai 确认取消**。host 是专用 LLM VPS，pi 作为
+  `systemd --user` 服务的子进程跑在 host 上；`ProtectSystem=strict` 等 systemd
+  沙箱已是隔离上限，不再叠加额外隔离复杂度。
+- `compose.yaml` / `Dockerfile`：**已删除**。上述两个文件缺 pi、缺 ffmpeg、
+  `env_file` 指向不存在的文件，从未在生产使用，纯属误导性骨架。
 
 ---