feat(openalice): déploiement in-cluster de l'agent IA financier (back-end finance d'Asa)

Déploie TraderAlice/OpenAlice (AGPL-3.0) dans le namespace ai comme back-end de
connaissances financières pour Asa, consommé via le connecteur MCP Ask.

- CI build-openalice.yml : rebuild depuis le Dockerfile amont (ref épinglée v0.60.0-beta.1)
  → ghcr.io/alkatrazz24/funk-openalice, bump manifest sur main
- k8s/apps/openalice : Deployment (restricted + fsGroup, Recreate), PVC 5Gi NFS /data,
  Service web:47331 + mcpask:3003, IngressRoute openalice.lab.local
- ArgoCD app + doc admin/ia/openalice.md (RAG) + MAJ CLAUDE.md
- Cerveau hybride : LiteLLM/Qwen3-8B local (gratuit) + Claude basculable ; données
  TraderHub (sans clé) + FMP gratuit. Lecture/recherche seule — aucun broker, zéro trading.

Onboarding premier boot (Web UI) imposé : credentials scellés dans /data par design.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.github/workflows/build-openalice.yml

@@ -0,0 +1,73 @@
+name: build-openalice
+
+# Construit l'image OpenAlice (TraderAlice/OpenAlice — AGPL-3.0) depuis son dépôt amont
+# à une révision ÉPINGLÉE, la pousse sur notre GHCR, et (sur main) bumpe le manifest k8s.
+#
+# OpenAlice n'est pas vendu sous forme d'image publique : on la rebuild depuis son Dockerfile.
+# La source amont n'est PAS vendorisée dans ce repo (AGPL, gros monorepo) — on la clone à la
+# volée à la `OPENALICE_REF` ci-dessous. Bump de version = éditer OPENALICE_REF puis dispatch.
+on:
+  push:
+    branches: ["main", "feat/**", "claude/**"]
+    paths:
+      - ".github/workflows/build-openalice.yml"
+  workflow_dispatch:
+
+env:
+  IMAGE: ghcr.io/alkatrazz24/funk-openalice
+  OPENALICE_REPO: TraderAlice/OpenAlice
+  OPENALICE_REF: v0.60.0-beta.1   # révision amont épinglée
+
+jobs:
+  build:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: write   # pour committer le bump du manifest sur main
+      packages: write
+    steps:
+      - name: Checkout (ce repo — workflow + manifests)
+        uses: actions/checkout@v4
+
+      - name: Clone OpenAlice amont (ref épinglée)
+        run: |
+          git clone --depth 1 --branch "${OPENALICE_REF}" \
+            "https://github.com/${OPENALICE_REPO}.git" openalice-src
+
+      - name: Calcule le tag (= ref amont) + la liste des tags
+        id: vars
+        run: |
+          TAG="${OPENALICE_REF}"
+          echo "tag=${TAG}" >> "$GITHUB_OUTPUT"
+          if [ "${{ github.ref }}" = "refs/heads/main" ]; then
+            echo "tags=${IMAGE}:${TAG},${IMAGE}:latest" >> "$GITHUB_OUTPUT"
+          else
+            echo "tags=${IMAGE}:${TAG}" >> "$GITHUB_OUTPUT"
+          fi
+
+      - name: Log in to GHCR
+        uses: docker/login-action@v3
+        with:
+          registry: ghcr.io
+          username: ${{ github.actor }}
+          password: ${{ secrets.GITHUB_TOKEN }}
+
+      - name: Build & push
+        uses: docker/build-push-action@v6
+        with:
+          context: openalice-src
+          push: true
+          tags: ${{ steps.vars.outputs.tags }}
+
+      - name: Met à jour le manifest avec le tag amont (main uniquement)
+        if: github.ref == 'refs/heads/main'
+        run: |
+          sed -i "s|image: ${IMAGE}:.*|image: ${IMAGE}:${{ steps.vars.outputs.tag }}|" \
+            k8s/apps/openalice/deployment.yaml
+          git config user.name "github-actions[bot]"
+          git config user.email "github-actions[bot]@users.noreply.github.com"
+          git add k8s/apps/openalice/deployment.yaml
+          if ! git diff --staged --quiet; then
+            git commit -m "ci(openalice): image → ${{ steps.vars.outputs.tag }} [skip ci]"
+            git pull --rebase origin main
+            git push
+          fi