feat: v1.0 — profils sandbox par agent : commandes autorisées (allowlist, stem Windows), périmètre de répertoires, politique réseau best-effort, refus journalisés pour l'audit, --no-sandbox pour contourner (closes #79)

- src/sandbox.rs : profile_of + enforce (basename/stem allowlist, cwd starts_with périmètre, proxy env si network:false), EventKind::Sandbox
- enforcement au run et au start (start_one, --parallel, restart) ; AgentDef.sandbox + doc config.yaml
- 6 tests : défaut non sandboxé, refus + journalisation, stem .exe, périmètre cwd, env réseau, bypass --no-sandbox

config.yaml

@@ -64,6 +64,15 @@ settings:
   #   sources:
   #     - https://git.dracodev.net/bruno/am-catalog/raw/branch/main/am-catalog.yaml
   #   author: bruno
+  # Profil sandbox par agent (#79) : commandes autorisées (binaires), répertoires
+  # de travail et politique réseau. Désactivé par défaut (mode non sandboxé).
+  # Les tentatives refusées sont journalisées (events sandbox) pour l'audit.
+  # Exemple dans un agent :
+  #   sandbox:
+  #     enabled: true
+  #     commands: [python, git]
+  #     dirs: ["~/workspace"]
+  #     network: false
   # Registre des providers LLM (#88) : nom -> base_url, modèles, modèle par
   # défaut. Le provider par défaut est utilisé à l'install/au run quand aucun
   # n'est donné (issue #90). Les tokens ne vont JAMAIS ici — ils vivent dans