dsh-tool-exposure：按 Agent 预设收窄全局插件工具暴露面

dsh-tool-exposure 是 keyblues 维护的 DSH admin-security 插件，在 Settings「工具暴露」页按 agent preset 配置第三方全局工具的可见与可调用范围。机制是在 agent 创建或首次 pre-step 通过 ctx.tools.restrict({ deny }) 下发掩码，隐藏工具返回 UNKNOWN_TOOL；配置写入 cordis.patch.yml，保存仅影响新建会话。支持 sources 通配符分组、角色基线 open/allow 与组/单工具覆盖。安装需在插件页填写 GitHub 仓库地址或使用 plugin_manager install_bundle。要求 Node ≥20、DSH 0.2.1-rc.5+。