dsh-agent-guard: 证据优先的 DSH 安全护栏

`dsh-agent-guard` 是一个为 DSH 设计的安全护栏插件，旨在防止智能体因误判数据丢失而错误修改核心存储。该插件具备零运行时依赖、证据优先的只读检查、写入拦截与备份、断路器机制及每回合回滚点记录等核心能力。它通过在 `tools/pre-execute` 阶段拦截写入操作，确保智能体先读取第一手证据再执行，并提供了 CLI 工具和客户端 UI 进行监控。安装后自动生效，卸载不会删除数据，需手动清理。