feat: 沙箱规模——/tmp 顺序加严、注册表寻址与失联精确清理、超时边界抽取

- Docker /tmp tmpfs 移到全部 -v 之前（父挂载在前，seed 子挂载在后）；
  宿主级 bwrap /tmp 仍宣告未隔离，口径见 tmp_isolation_status()
- workers 表补 host/pid/address（老库幂等补列），心跳透传与保留语义，
  _claim 写 claimed_by_worker；orphaned_containers 精确识别失联容器，
  Worker.cleanup_orphaned_containers 默认只杀 pid_verified 的精确容器名
- docker_run_timeout() 纯函数抽取（行为与原内联一致），README 补边界与
  未验证清单；新增 test_sandbox_scale.py 20 项

cloud/db.py

@@ -1175,6 +1175,7 @@ def init_postgres_schema(conn):
     for _name, _type in (("executor", "TEXT"), ("pr_url", "TEXT"),
                          ("pr_number", "INTEGER"),
                          ("worktree_host", "TEXT"),
+                         ("claimed_by_worker", "TEXT"),
                          ("goal_mode", "INTEGER"),
                          ("environment_id", "TEXT"),
                          ("child_model", "TEXT"),