docs: define platform admin identity boundary

spec/Spec/System.lean

@@ -2,6 +2,7 @@ import Spec.System.ProjectGroup
 import Spec.System.Organization
 import Spec.System.ProjectWorkspace
 import Spec.System.Capacity
+import Spec.System.PlatformAdministration
 import Spec.System.Run
 import Spec.System.Lock
 import Spec.System.Memory
@@ -22,6 +23,8 @@ import Spec.System.Audit
   (ADR-0021)。
 - `Capacity` —— platform ceiling 与 org policy 的分层限制、持久 admission request 状态和
   平台紧急工作负载制动(ADR-0022)。
+- `PlatformAdministration` —— 独立平台身份/会话、单一管理员角色、绑定邀请、最后管理员
+  保护、fail-closed 平台审计与离线 emergency grant(ADR-0023)。
 - `Run` —— AgentRun 状态与终止判定(状态集合完整性 OPEN)。
 - `Lock` —— 锁 owner=run(ADR-0002),及"持锁者必为非终止 run"的核心不变式。
 - `Memory` —— 按需上下文:锚点类别(ADR-0003)+ MCP 工具按 run/project 上下文授权的不变式。
@@ -30,7 +33,8 @@ import Spec.System.Audit
 - `Permission` —— read⊂edit⊂manage 角色格、能力推导、单调性;force-release 在格外。
 - `PermissionGrant` —— grant(resource×principal×role)与 settings(六 policy 旋钮)结构
   (ADR-0004);role-capability 与 settings-policy 的组合规则 OPEN。
-- `Audit` —— 有意从简(内容多为 plumbing,OPEN)。
+- `Audit` —— customer Project/Run 审计有意从简(内容多为 plumbing,OPEN);Platform
+  Audit 由 `PlatformAdministration` 独立钉死。
 
-标识符见 `Spec.Prelude`。决策出处:ADR-0001..0004, 0018, 0020..0022。
+标识符见 `Spec.Prelude`。决策出处:ADR-0001..0004, 0018, 0020..0023。
 -/