fix: add seccomp=unconfined to AdvancedHostDANGER for bwrap support

SYS_ADMIN capability sola no es suficiente para que bwrap pueda montar
/proc en un nuevo namespace. Docker bloquea CLONE_NEWUSER via seccomp
incluso con esa capability, causando:
  bwrap: Can't mount proc on /newroot/proc: Operation not permitted

Con seccomp=unconfined el contenedor puede crear user namespaces y bwrap
funciona correctamente, lo que permite que Claude Code y Claude Desktop
ejecuten su sandbox bash sin errores.

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

Author: successbyfailure

workspaces/AdvancedHostDANGER/main.tf

@@ -1231,6 +1231,9 @@ resource "docker_container" "workspace" {
 
   # Para mejorar KasmVNC y navegadores
   shm_size = 2 * 1024 * 1024 * 1024
+  # seccomp=unconfined: necesario para bwrap (Claude Code/Desktop usan bwrap para sandbox bash)
+  # SYS_ADMIN solo no es suficiente; seccomp bloquea CLONE_NEWUSER incluso con esa capability
+  security_opts = ["seccomp=unconfined"]
   # Permitir FUSE/SSHFS y montajes remotos
   capabilities {
     add = ["SYS_ADMIN"]