chore(admission): добавить public carrier

[lemone112]

Public Code Admission carrier из Labpics-Team/agents-config@1099dd68ce3ad697274bc2ea707837607b60283c. Все 13 runtime members сохранены byte-for-byte. Workflow checkout'ит github.workflow_sha как trusted root, candidate отдельно, проверяет carrier receipt и запускает canonical composite action. До immutable required-workflow ruleset это canary, а не production enforcement. Приёмка: lawful PASS; HIGH/secret/inline suppression REJECT; candidate rewrite carrier после pin не меняет trusted bytes.

[coderabbitai]

Important

Draft PR not reviewed

Draft PRs are not automatically reviewed by default.

• Trigger a manual review

To automatically review draft PRs, update your CodeRabbit configuration:

reviews:
  auto_review:
    drafts: true

---

_{Comment @coderabbitai help to get the list of available commands.}

[lemone112]

Закрываю этот canary без потери требования. Он vendored exact agents-config@1099dd68ce3ad697274bc2ea707837607b60283c, тогда как canonical code-admission с тех пор существенно изменён; текущий публичный check самого PR красный. Вендорить этот старый runtime сейчас означало бы закрепить устаревший security/tool-identity contract. Само обязательство публичного immutable carrier не снимается: оно остаётся у canonical owner agents-config, где должны квалифицироваться актуальные bytes и required-workflow root один раз, после чего публичные repos могут получить свежую доставку. История 17 файлов, verifier/source receipt и lawful/HIGH/secret/suppression canary остаются в Git/PR как исходное evidence. Это SUPERSEDED/obsolete carrier, не отказ от public admission.