fix: разделить PR-сборку и публикацию образа

[DanliaQwerty20]

Что изменено

• в pull request отключены provenance и SBOM для локальной загрузки image;
• после main сохранены SBOM, mode=max provenance, GitHub attestation и Cosign;
• добавлена regression-проверка режимов и publish-only guards;
• проверка подключена к CI репозитория;
• русская документация обновлена.

Причина

Docker exporter не поддерживает локальную загрузку manifest list с attestations. Из-за этого падал container check agent-runtime #4.

Как проверено

• check-workflows.ps1;
• check-docs.ps1;
• actionlint 1.7.12;
• независимый review: no findings.