教 Agent 安全地做 Windows 系统级改动：提权走 .bat 包装器、改动前存快照、改动后回读校验，专治三类静默失败——提权通道被拦、powercfg 之类返回成功却没生效、按 DisplayName 通配符误伤 OEM 服务。含服务/计划任务/开机自启（StartupApproved 首字节 0x02/0x03）/电源方案/卸载 MSIX 的完整实操与双向校验，并覆盖启动项失效残留的辨识。纯本地、零依赖。