feat(runner): tgit-runner — сервисы в песочнице на хосте, деплой после push (#13)

- infra/runner/tgit-runner: deploy/restart/remove/list по SSH forced command;
  аргументы не исполняются и не глобятся; архив — только файлы и папки,
  без «..», ≤ 20 МБ, есть main.py; health_url — только localhost
- песочница: uid 10001, read-only, tmpfs noexec, cap-drop ALL,
  no-new-privileges, 128 МБ без swap, 0.25 CPU, 64 PID, --network none
  (сеть — только по egress-allow админа), лимит 10 сервисов, 2 образа
- новая версия стартует рядом (-next) и заменяет старую, только став
  healthy; иначе удаляется, старая работает, exit 3
- бот: после push git archive изменённых services/<name>/ → runner;
  автору — «🚀 работает» или «⛔ не развёрнут» с логом, команде — алерт ⛔;
  удалённая папка → remove; «♻️ Перезапустить» в «Статусе» для админа (S-5)
- examples/escape_attempts: все попытки выбраться — BLOCKED на живом Docker
- install.sh, authorized_keys.example; CD бота обновляет runner на хосте

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

config/texts.yaml

@@ -129,6 +129,12 @@ commit:
   push_empty: "В main уже всё так же — коммитить нечего. Черновик очищен."
   push_limit: "Лимит — 20 пушей в час. Попробуйте позже."
   push_failed: "Не удалось запушить: репозиторий недоступен. Черновик сохранён — попробуйте позже."
+  deploying: "🚀 Разворачиваю: {services}…"
+  deployed: "🚀 <b>{service}</b> работает · {sha}"
+  deploy_failed: |-
+    ⛔ <b>{service}</b> не развёрнут: {reason}
+    Работает прежняя версия, если она была.
+  removed: "🗑 <b>{service}</b> удалён из репозитория — остановлен на хосте"
 
 status:
   title: "🩺 Статус · {count} конт. · {time} UTC"
@@ -163,6 +169,9 @@ status:
   hours: "ч"
   minutes: "мин"
   seconds: "с"
+  restart: "♻️ Перезапустить"
+  restarted: "♻️ Перезапущен"
+  restart_failed: "Не удалось перезапустить: {reason}"
 
 logs:
   title: "📜 Логи · выберите контейнер"