Production docker tasks: --docker-runtime runsc in autoscaler unit

One-off worker verification passed before this flip (2026-10-26):
production-shaped docker task (apparmor=docker-codex, pids-limit 512,
tenant isolation, egress proxy 8888, --docker-runtime runsc) completed
in 60s with gpt-6.1-sol, worktree quadruple + proof verified, template
and tenant repo copies clean. README now states the production state.

cloud/README.md

@@ -500,7 +500,9 @@ interrupted 且终态任务 cancel 返回 400、心跳后 sweep 不扫刚心跳
   `--docker-pids-limit`（默认 512，防 fork 炸弹）；
   `--docker-runtime`（不传 = docker 默认 runc；传 `runsc` =
   任务容器走 gVisor syscall 沙箱，需 daemon 已注册该 runtime，
-  否则起容器失败；生产切换前须经一次性 worker 模型任务验证）；
+  否则起容器失败；生产 autoscaler 已配 runsc：2026-10-26
+  一次性 worker 模型任务验证通过，60 秒 completed，
+  AppArmor docker-codex + 租户隔离 + egress 代理组合可用）；
   `--egress-proxy-port`（0 = 不启用；生产配 8888）：启用后
   Docker 任务容器的 HTTP(S) 出口全部走宿主上的 Tinyproxy
   （见 `deploy/egress/`：FilterDefaultDeny 白名单，只放行