拆解 Kimi Hosted Agents 的三层防线:沙箱、网络权限与推理前拦截,用零依赖脚本演示最小 Harness 的权限检查与审计日志写法,附自建与托管的取舍清单。