arkcli helper —— 给本机 AI Agent 配置 Plan / Platform Endpoint / 注入 MCP

前置: 先用 Read 读 ../arkcli-shared/SKILL.md 获取共享安全规则与认证闸门。

CRITICAL — arkcli helper 整个命令域不支持 --dry-run。 Helper 面向 TTY/本地 harness 配置，不是 API request preview。任何 helper 命令带 --dry-run 都应 fail-fast 为 unknown flag；Agent 不得生成该 组合，也不得把它当作写操作保护。真实 configure/reset/mcp/supabase 仍必须先展示目标与路径并取得明确确认。

命令选择（先选最具体的子命令）

• 普通 Helper 准入从 arkcli helper list 和用户指定的目标开始；不要为补齐上下文自动执行 profile show/list/keys list。这些 Profile 命令可能在线同步并回写 Key，只有用户显式要求 Profile 管理时才进入，并先说明影响。
• 用户要查看或配置 Agent 的 model/provider、Plan、Platform Endpoint，或核对 --with-mcp / --with-supabase / --with-routing 等非交互选项时，必须选择 arkcli helper configure；只查看用法也要运行 arkcli helper configure --help，不能退化成父级 arkcli helper --help。
• 用户只要 Harness 工具、不改 model/provider 时，选择 arkcli helper mcp [target]。不传 --capability 配整组 Agent Plan MCP；只要专业数据集、豆包搜索或 Agent 记忆时分别传 --capability datapro|web-search|agent-memory；只要云电脑时传 --capability cua。选择豆包搜索后默认关闭目标客户端的原生 WebSearch/web_search，用户要求保留时加 --keep-native-websearch。发生关闭时立即输出作用域、配置文件和完整 reset 命令。只查看用法时运行 arkcli helper mcp --help。
• Helper 配置 Agent Plan 时只能使用该 profile 的专属/席位 Key，不能用普通 API Key 池兜底。个人版专属记录存在但非 Active（如 Restricted）时，真人 TTY 会先说明轮转将立即使旧 Key 失效并询问；确认后只轮转一次、最多读 3 次状态，第一轮 Active 即停止。无专属记录、用户拒绝或非 TTY 时不轮转；失败引导必须去 Agent Plan 使用配置页，不能去普通 API Key 页面或 auth apikey。
• arkcli-auth 只处理实际认证阻塞。用户仅要求查看 helper 的 --help 时，不要转去登录、init-volc 或其他认证命令。

适用场景 / 唤起信号