feat: 添加 WireGuard 设备管理并完善客户端分流

实现独立加密设备身份、网关 agent、持久生命周期任务和 Surge/FlClash 专属订阅凭证。

完善 Shadowrocket 规则转换与 Clash AI DNS，增加 Surge FFSB 适配、规则快照、运维工具及验收文档。

docs/META-MUSE-RULES.md

@@ -0,0 +1,26 @@
+# Meta Muse AI 分流补充（2026-10-13）
+
+用户反馈 Meta 最新 Muse 产品不能完全代理，授权查询开源规则并加入生产 AI 分组。本次经管理 API 重读后，新增四条启用的自定义 DOMAIN-SUFFIX 规则：`muse.ai`、`meta.ai`、`meta.com`、`llama.com`，均指向 `🤖 AI`。快照见 [rules/meta-muse.list](../rules/meta-muse.list)。
+
+## 来源与覆盖范围
+
+- [Self-Configuration](https://github.com/ClashConnectRules/Self-Configuration/blob/main/Clash.yaml) 当前公开文件未查到 Muse、meta.ai 或 llama 专用规则。
+- [Sukka AI 清单](https://github.com/SukkaW/Surge/blob/master/Source/non_ip/ai.conf) 收录 `meta.ai`，现有生产 AI RULE-SET 已引用该清单；显式补充可固定关键入口的覆盖。
+- [metamuse-rules 域名清单](https://github.com/kkykkky/metamuse-rules/blob/main/MetaMuse.domainset) 收录 Muse 主站、Meta AI、Llama、开发者站、Graph 与账号服务，记录了跨出口造成资格校验失败的社区实测。该实测不是本机的业务验收。
+- [Meta 官方 Model API 文档](https://dev.meta.ai/docs/agent-frameworks) 使用 `https://api.meta.ai/v1`。
+
+`muse.ai` 同时覆盖 `auth.muse.ai`；`meta.ai` 覆盖 API 与开发者控制台；`meta.com` 覆盖 `auth.meta.com`、`accountscenter.meta.com`、`gateway.accountscenter.meta.com`、`graph.meta.com`、`ai.meta.com` 与 `ai.developer.meta.com`，也会将其他 Meta 官网／账号请求交给 AI。没有复制上游共享 Facebook／Instagram 的宽泛 IP 兜底，后续若出现裸 IP 请求需依实际连接记录定向处理。
+
+## 生产变更与验证
+
+备份：`/opt/proxy-station/data/backups/before-meta-muse-ai-20261013-165833.db`；写入前已收紧并确认 root 属主、600 权限、非空。
+
+规则由 176 条增至 180 条，178 条启用；新增项位于 seq 50–53，在 Unbreak 与停用 DOH 规则之后、原有启用 AI 区段之前。原规则内容和相对顺序均逐项比对不变，唯一启用 FINAL 仍在末尾。未改组成员、节点、设置或客户端已保存选择。
+
+实际 HTTPS Surge、Clash、Shadowrocket conf 已成功拉取并核对四条 AI 域名规则；Surge self URL 与四组根域／通配 Host 到 Cloudflare DoH 的派生映射均已核对。官方 Surge CLI 与 FINAL、测速参数、控制口令、MITM 静态检查通过。在线规则集快照校验受到下载失败影响；本机没有可用的 mihomo，Clash 未进行原生解析验收。尚未验证 Muse 登录、对话、附件、实时功能、设备 DNS 或移动端连接，不宣称所有业务请求已完全覆盖。
+
+客户端须刷新各自订阅／规则配置后生效。本次没有更新或切换本机活动配置，也没有更改 AI 的出口选择。本快照不自动跟随上游更新。
+
+## 后续补充（2026-10-13）
+
+根据用户实际观察，新增 `DOMAIN-SUFFIX,metaaivm.com,🤖 AI`，覆盖根域及子域；此条来源为用户连接记录，未冒称上游清单或官方文档已收录。放在原四条 Muse 规则之后，保留其他规则的相对顺序。写入前在线备份为 `before-metaaivm-mobile-fixes-20261013-181717.db`（root:root、600）。最新生产计数与发布验收见 [移动端修复记录](MOBILE-CLIENT-FIX-2026-10-13.md)。