Document AI host API access rules

docs/WORKFLOW.md

@@ -325,6 +325,37 @@ Pflicht-Setup auf dem Host: Repo-Spiegel unter `/mnt/user/services/homelab-infra
 - Rechte: `chmod 600`
 - Secret-Namen und Pfade werden in `docs/SECRETS_MAP.md` dokumentiert
 
+### Codex/Claude Host-API-Zugriffe
+
+Fuer ausdruecklich angeforderte Live-/Host-Checks duerfen Codex/Claude die in
+`docs/SECRETS_MAP.md` dokumentierten Host-API-Secretpfade verwenden:
+
+- Komodo CLI/API: `/mnt/user/appdata/secrets/codex_komodo_api.env`
+- Unraid API: `/mnt/user/appdata/secrets/codex_unraid_api_key.txt`
+
+Regeln:
+
+- Secret-Werte niemals ausgeben, loggen, kopieren oder ins Repo schreiben.
+- Keine `set -x`/Shell-Traces beim Laden der Env-Datei.
+- Vor Nutzung klaeren, ob die Shell wirklich auf `kallilabcore` laeuft; eine
+  Windows-Arbeitskopie ohne `/mnt/user/...` ist kein Host-Kontext.
+- Standard ist read-only Inventarisierung. Schreibende API-/Docker-/Komodo-
+  Aktionen brauchen eine ausdrueckliche Operator-Anweisung.
+
+Read-only Komodo-Smoke auf dem Host:
+
+```bash
+set -a
+. /mnt/user/appdata/secrets/codex_komodo_api.env
+set +a
+
+docker exec \
+  -e KOMODO_CLI_HOST \
+  -e KOMODO_CLI_KEY \
+  -e KOMODO_CLI_SECRET \
+  komodo-core km core-info
+```
+
 ---
 
 ## Image-Versionierung