feat(openalice): déploiement in-cluster de l'agent IA financier (back-end finance d'Asa) (#61)

Déploie TraderAlice/OpenAlice (AGPL-3.0) dans le namespace ai comme back-end de
connaissances financières pour Asa, consommé via le connecteur MCP Ask.

- CI build-openalice.yml : rebuild depuis le Dockerfile amont (ref épinglée v0.60.0-beta.1)
  → ghcr.io/alkatrazz24/funk-openalice, bump manifest sur main
- k8s/apps/openalice : Deployment (restricted + fsGroup, Recreate), PVC 5Gi NFS /data,
  Service web:47331 + mcpask:3003, IngressRoute openalice.lab.local
- ArgoCD app + doc admin/ia/openalice.md (RAG) + MAJ CLAUDE.md
- Cerveau hybride : LiteLLM/Qwen3-8B local (gratuit) + Claude basculable ; données
  TraderHub (sans clé) + FMP gratuit. Lecture/recherche seule — aucun broker, zéro trading.

Onboarding premier boot (Web UI) imposé : credentials scellés dans /data par design.

Co-authored-by: Claude Opus 4.8 <noreply@anthropic.com>

CLAUDE.md

@@ -162,6 +162,7 @@ k8s/
 │       ├── stt.yaml
 │       ├── searxng.yaml
 │       ├── ghostfolio.yaml
+│       ├── openalice.yaml
 │       ├── monitoring.yaml
 │       └── nfs-provisioner.yaml
 ├── apps/                    # Manifests raw k8s par application
@@ -170,6 +171,7 @@ k8s/
 │   ├── stt/                 # namespace: ai — STT-server (assistant vocal Asa, stt.lab.local)
 │   ├── searxng/             # namespace: ai — méta-moteur recherche web (outil web_search d'Asa)
 │   ├── ghostfolio/          # namespace: ai — suivi de portefeuille (ghostfolio.lab.local)
+│   ├── openalice/           # namespace: ai — agent IA financier (openalice.lab.local, back-end finance d'Asa)
 │   └── {external-services}/ # ExternalName/Endpoints pointant vers storage-01 ou gpu-01
 └── infra/                   # Helm releases (HelmRelease + values.yaml)
     ├── monitoring/           # kube-prometheus-stack 85.0.2
@@ -184,7 +186,7 @@ k8s/
 2. Créer `k8s/apps-of-apps/apps/<nom>.yaml` (ArgoCD Application CRD) — copier `n8n.yaml` comme modèle
 3. `git commit` + `git push` → ArgoCD prend en charge automatiquement
 
-Namespaces actifs : `argocd`, `infra` (Traefik, MetalLB, NFS-provisioner, registry in-cluster), `monitoring` (Prometheus/Grafana), `ai` (n8n, open-webui, stt, searxng, ghostfolio), `sacrifice` (jeu FPS — déployé hors de ce repo et hors ArgoCD, cf. `admin/ops/etat-cluster.md`).
+Namespaces actifs : `argocd`, `infra` (Traefik, MetalLB, NFS-provisioner, registry in-cluster), `monitoring` (Prometheus/Grafana), `ai` (n8n, open-webui, stt, searxng, ghostfolio, openalice), `sacrifice` (jeu FPS — déployé hors de ce repo et hors ArgoCD, cf. `admin/ops/etat-cluster.md`).
 
 > Les services du namespace `ai` sont exposés via des **IngressRoute Traefik** (CRD), pas des `Ingress` standards.