用途：这是 iii-hq/workers 中的 shell worker，作为智能体访问操作系统的统一入口——跑构建、调 CLI、读文件、列目录都经由 shell::* 与 shell::fs::*，便于集中实施拒绝列表、超时、输出上限和可选的主机根目录 jail（默认不启用 jail）。
主要能力：shell::exec 前台执行并返回 stdout/stderr/退出码/耗时；shell::exec_bg 后台启动返回 job_id，配合 shell::status、shell::list、shell::kill 轮询或终止；shell::fs::* 提供结构化目录与文件操作：ls、stat、mkdir、rm、chmod、mv、grep、sed、write、read。所有调用可带可选 target 字段，把调用转发到 iii-sandbox 微VM。shell::config-status 仅供运维/自动化报告热重载结果。另有 shell::changed 触发类型，基于目录监听推送变更事件。同一 worker 还提供 coder::* 代码文件接口：coder::info、read-file、search、list-folder、tree 以及批量的 create/update/delete/move。
使用方式：需要沙箱转发（及向 VM 做 fs 操作）时须安装 iii-sandbox worker；iii trigger compose::add worker=ide 不会自动引入。要让 LLM 智能体使用 shell::*，需搭配 skills worker。
适用场景：一次性命令与阻塞获取结果、启动长任务后轮询、查看/终止后台任务、结构化读取与搜索文件树、批量创建移动删除与改权限、通过通道写入产物或向沙箱引导文件。
限制：主机 shell::exec 不是安全沙箱，拒绝列表基于 argv.join(" ") 的正则，任何解释器都可在运行时构造禁词绕过；不受信命令应使用 target: sandbox。shell::fs::* 仅在设置 fs.host_roots 时形成 jail，默认未启用，且始终拒绝拒绝列表路径，路径须为绝对，不跟随符号链接。沙箱后台任务无法硬杀，shell::kill 只改记录，VM 内进程运行至 timeout_ms。不用于向内联 LLM 结果；无批量/通配符单路径操作；非包管理器、编辑器或迁移工具，SQL 请用 database worker。沙箱目标不支持 stdin、cwd、env 等主机专用字段。