matchlock：微VM隔离运行AI Agent

Matchlock是一个把AI Agent放进一次性微虚拟机运行的命令行工具，面向需要放手让Agent执行代码又怕密钥泄露的开发者。本次为仓库新建发布，项目尚处实验阶段，以MIT许可开源：Agent获得秒级启动的完整Linux环境，网络默认封死，--allow-host只放行白名单主机，--secret传入的密钥由宿主经MITM代理在请求途中注入，虚拟机内只见占位符；卷挂载为隔离快照，用后即消失。它支持带KVM的Linux与Apple Silicon macOS，可经脚本、Homebrew或rpm/deb安装部署。