dsh-tool-exposure：按 Agent 預設收窄全局插件工具暴露面

dsh-tool-exposure 是 keyblues 維護的 DSH admin-security 插件，在 Settings「工具暴露」頁按 agent preset 配置第三方全局工具的可見與可調用範圍。機制是在 agent 創建或首次 pre-step 通過 ctx.tools.restrict({ deny }) 下發掩碼，隱藏工具返回 UNKNOWN_TOOL；配置寫入 cordis.patch.yml，保存僅影響新建會話。支持 sources 通配符分組、角色基線 open/allow 與組/單工具覆蓋。安裝需在插件頁填寫 GitHub 倉庫地址或使用 plugin_manager install_bundle。要求 Node ≥20、DSH 0.2.1-rc.5+。