feat: secure Agent Runtime API from contracts 2.1.0

[DanliaQwerty20]

Что сделано

• Agent Runtime следует контракту 2.1.0: text, timeZone, availableConnectors и camelCase-ответы;
• tenant и пользователь берутся только из проверенного JWT;
• проверяются подпись RS256, issuer, audience agent-runtime, exp, iat, sub и tenant_id;
• добавлены Trusted Host и выключение Swagger/OpenAPI для production;
• релизная схема хранится локально, обновляется с checksum + attestation и проверяется contract-тестом;
• русская документация и runbook обновлены.

Проверки

• 25 pytest, покрытие ProposalService 100%;
• Ruff + format;
• strict mypy;
• MkDocs strict;
• проверка документации и PowerShell-синтаксиса.