feat(stt): actions cluster via Hermes — contexte « agent » + exécuteur hermes-exec

Asa peut AGIR sur le homelab (l'autre moitié de la vision), via le vrai agent Hermes,
profil par défaut, tous ses outils — avec confirmation et jeton.

Découverte : Hermes n'a pas d'API HTTP (appli TUI), mais un mode one-shot `hermes -z
"<prompt>" --yolo`. On s'appuie dessus.

storage-01 — exécuteur :
- tools/hermes-exec/server.py : service HTTP qui lance `hermes -z --yolo` en user hermes,
  derrière un jeton Bearer (compare_digest), timeout + audit, une action à la fois.
- rôle Ansible hermes_exec : systemd (User=hermes, env hermes-agent), jeton via
  EnvironmentFile 0640 (Vault vault_hermes_exec_token) ; ajouté au playbook storage-01.

STT-server (0.5.0 → 0.6.0) :
- agent.py : pont vers hermes-exec (jeton) + détection confirme/annule.
- contexts.py : contexte « agent » (court-circuite le LLM).
- app.py : flux dédié — handshake 2 temps par session (pending action) → sur « confirme »,
  appelle hermes-exec ; « annule » annule. /v1/contexts masque « agent » si désactivé.
- config : STT_ACTIONS_ENABLED (opt-in, défaut false) + URL + jeton (secret k8s).
- deployment : env actions + secret stt-server-secrets/hermes-exec-token (optionnel).

Sécurité : opt-in désactivé par défaut ; jeton obligatoire (sinon contexte caché + exécuteur
refuse tout) ; --yolo atteint seulement jeton+confirmation en main ; audit storage-01.
Client : AUCUN changement (le contexte « agent » apparaît tout seul dans le sélecteur).

Validé en local : exécuteur (401 sans/mauvais jeton, exec avec bon jeton via echo),
handshake serveur (TestClient : confirme→exécute, annule→annule, agent masqué si OFF).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

ansible/roles/hermes_exec/templates/hermes-exec.env.j2

@@ -0,0 +1,3 @@
+# Géré par Ansible (rôle hermes_exec) — NE PAS éditer à la main.
+# Jeton d'auth de l'exécuteur Hermes (Bearer attendu par hermes-exec).
+HERMES_EXEC_TOKEN={{ hermes_exec_token }}

ansible/roles/hermes_exec/templates/hermes-exec.service.j2

@@ -0,0 +1,29 @@
+[Unit]
+Description=hermes-exec — exécuteur d'actions Hermes (assistant vocal STT)
+After=network-online.target hermes-agent.service litellm.service
+Wants=network-online.target
+
+[Service]
+User={{ hermes_exec_user }}
+Group={{ hermes_exec_group }}
+# Jeton chargé depuis un fichier à accès restreint (pas en clair dans l'unit).
+EnvironmentFile=/etc/hermes-exec/env
+Environment=PYTHONUNBUFFERED=1
+Environment=HOME={{ hermes_exec_home }}
+Environment=HERMES_HOME={{ hermes_exec_hermes_home }}
+Environment=LM_BASE_URL={{ hermes_exec_lm_base_url }}
+Environment=LM_API_KEY={{ hermes_exec_lm_api_key }}
+Environment=HERMES_BIN={{ hermes_exec_bin }}
+Environment=HERMES_EXEC_PORT={{ hermes_exec_port }}
+Environment=HERMES_EXEC_TIMEOUT={{ hermes_exec_timeout }}
+Environment=HERMES_EXEC_LOG={{ hermes_exec_log }}
+ExecStart=/usr/bin/python3 /usr/local/bin/hermes-exec-server
+Restart=on-failure
+RestartSec=15s
+
+StandardOutput=journal
+StandardError=journal
+SyslogIdentifier=hermes-exec
+
+[Install]
+WantedBy=multi-user.target