A1 · demo-fs.read_file

允许：读工作区文件

Agent 要读 /workspace/readme.md。策略命中 allow-workspace-read，放行。

期望：action = allow，审计可回放

实际：action=allow · risk=10 · rule=allow-workspace-read · status=ok

脱敏后参数（审计可见）

{
  "path": "/workspace/readme.md"
}