feat: 段页式记忆流转、coldcontext 重命名与安全治理

记忆层：
- MemoryBlock 承载 FrameTS/PageSeq/PageKind/BlockRole/CallID
- coldcontext 归档与回填按完整页传递，工具调用参数和配对键不丢失
- 召回先估算总 token，超预算时按全局页相似度标记 inactive
- inactive 仅是 context 渲染期状态，不落盘、不进入 coldcontext，Prune 后重置
- Peek/确认/Remove 两阶段召回，失败保留冷上下文副本
- stablemem 记录 last_recalled_at，删块连带清理边

命名：
- internal/memory/document → internal/memory/coldcontext
- Doc/DocEvent/DocHit → ColdDoc/ColdEvent/ColdHit
- ContextToColdContext/RecentColdContexts/FindColdContexts
- 保留既有 JSON 标签、doc_ 文件前缀与 doc_count 状态键，兼容存量数据

安全治理：
- 工具策略门禁、安全配置、事件总线发布者身份与入站脱敏
- 声明式 SecurityAPI 与 QQ owner/guest profile
- 日志保留策略与相关 e2e/回归判据

验证：go build ./...、go vet ./...、go test ./...（62 包）；
生产副本 e2e：7013 块迁移后 ID/向量/指纹 0 变化、0 缺失。

internal/sdk/memory_impl.go

@@ -9,7 +9,7 @@ import (
 	"time"
 
 	"github.com/JianFeeeee/HologramAgent/internal/memory"
-	doc "github.com/JianFeeeee/HologramAgent/internal/memory/document"
+	coldcontext "github.com/JianFeeeee/HologramAgent/internal/memory/coldcontext"
 	"github.com/JianFeeeee/HologramAgent/internal/memory/text"
 )
 
@@ -342,14 +342,14 @@ func (m *textMemoryImpl) Stats() map[string]interface{} {
 // ---------- 文档记忆（知识库） ----------
 
 type docMemoryImpl struct {
-	ds     *doc.Store
+	ds     *coldcontext.Store
 	plugin string
 }
 
-func NewDocMemory(ds *doc.Store) DocMemoryAPI { return &docMemoryImpl{ds: ds} }
+func NewDocMemory(ds *coldcontext.Store) DocMemoryAPI { return &docMemoryImpl{ds: ds} }
 
 // NewDocMemoryWithPlugin 创建带上报名的文档记忆包装。
-func NewDocMemoryWithPlugin(plugin string, ds *doc.Store) DocMemoryAPI {
+func NewDocMemoryWithPlugin(plugin string, ds *coldcontext.Store) DocMemoryAPI {
 	return &docMemoryImpl{ds: ds, plugin: plugin}
 }
 
@@ -374,7 +374,7 @@ func (m *docMemoryImpl) Query(text string, topK int) []*Doc {
 //
 // 唯一的来源是文档直接持有的一等记忆块：媒体不靠正文标记、
 // 也不靠任何生成的描述文本。
-func (m *docMemoryImpl) fillMedia(out *Doc, d *doc.Doc) {
+func (m *docMemoryImpl) fillMedia(out *Doc, d *coldcontext.ColdDoc) {
 	if d == nil {
 		return
 	}
@@ -421,7 +421,7 @@ func (m *docMemoryImpl) InsertWithMedia(d *Doc, attachments []MediaAttachment) e
 	if m.ds == nil || d == nil {
 		return nil
 	}
-	target := &doc.Doc{ID: d.ID, Summary: d.Title, Content: d.Content}
+	target := &coldcontext.ColdDoc{ID: d.ID, Summary: d.Title, Content: d.Content}
 	if target.Source == "" {
 		target.Source = "plugin:" + m.plugin
 	}