feat: 段页式记忆流转、coldcontext 重命名与安全治理

记忆层：
- MemoryBlock 承载 FrameTS/PageSeq/PageKind/BlockRole/CallID
- coldcontext 归档与回填按完整页传递，工具调用参数和配对键不丢失
- 召回先估算总 token，超预算时按全局页相似度标记 inactive
- inactive 仅是 context 渲染期状态，不落盘、不进入 coldcontext，Prune 后重置
- Peek/确认/Remove 两阶段召回，失败保留冷上下文副本
- stablemem 记录 last_recalled_at，删块连带清理边

命名：
- internal/memory/document → internal/memory/coldcontext
- Doc/DocEvent/DocHit → ColdDoc/ColdEvent/ColdHit
- ContextToColdContext/RecentColdContexts/FindColdContexts
- 保留既有 JSON 标签、doc_ 文件前缀与 doc_count 状态键，兼容存量数据

安全治理：
- 工具策略门禁、安全配置、事件总线发布者身份与入站脱敏
- 声明式 SecurityAPI 与 QQ owner/guest profile
- 日志保留策略与相关 e2e/回归判据

验证：go build ./...、go vet ./...、go test ./...（62 包）；
生产副本 e2e：7013 块迁移后 ID/向量/指纹 0 变化、0 缺失。

internal/plugin/proc/corehandler.go

@@ -98,6 +98,11 @@ type CoreSDK interface {
 	Settings() pubsdk.SettingsAPI
 	// Secrets 是**全进程共享**的变量库（非 per-plugin）。
 	Secrets() pubsdk.SecretsAPI
+	// Security 是**策略声明面**（插件声明命名档位；判定由内核执行）。
+	//
+	// ★ 只声明、不判定：本接口刻意没有 CheckTool 之类的方法 ——
+	// 那属于内核。插件自判会让策略分散、且插件崩溃即策略失效。
+	Security() pubsdk.SecurityAPI
 	Memory() pubsdk.MemoryAPI
 	TextMemory() pubsdk.TextMemoryAPI
 	DocMemory() pubsdk.DocMemoryAPI
@@ -187,6 +192,9 @@ func (h *coreHandler) Handle(method string, params json.RawMessage) (interface{}
 		MethodSettingsDataDir:
 		return h.handleSettings(method, params)
 
+	case MethodSecurityDeclareProfile, MethodSecurityDeclareProfiles:
+		return h.handleSecurity(method, params)
+
 	case MethodLLMListSources, MethodLLMSetSource, MethodLLMCurrentSource:
 		return h.handleLLM(method, params)