feat(ai): add AI VM services (diagnosis agent, pgvector RAG, Discord HITL bot) and harness approval endpoints

실험 설계서 6장(WP-12)의 AI VM 2층 구현.
- cmd/agent: 하네스 /diagnose 수신 → OpenAI Responses API 함수 호출 루프(읽기 전용 도구 7종:
  query_metrics, query_logs, get_probe_status, get_k8s, get_gcp_instances, get_aws_state,
  search_runbooks) → strict 스키마 submit_diagnosis(6.3) → 하네스 /proposals 등록 + HITL 게시,
  또는 신뢰도 0.5 미만·escalate 시 3층 큐 에스컬레이션. 세션·프롬프트 버전·러너북 벡터는
  pgvector(ai 스키마)에 저장. 라벨·조치 enum은 하네스 /scenarios·/actions/catalog에서 갱신.
- cmd/hitl: Discord Gateway 봇(intents GUILDS만). 승인/거부 버튼(custom_id approve:/reject:<token>),
  3초 내 DEFERRED_UPDATE_MESSAGE, 승인 시 하네스 승인 → /actions/execute → 원 메시지 편집,
  15분 무응답 시 에스컬레이션 채널로 이동. 재기동 시 미결 제안 타이머 복원.
- harness: POST /proposals/{token}/approve, /reject 추가. 제안은 진단 시점에 등록하고 승인은
  버튼 시점에 기록해 MTTA(승인-제안)가 실제 대기 시간이 되도록 함.
OpenAI·Discord 토큰은 Secret Manager 파일로만 읽고 코드·저장소에 두지 않는다.

ai/internal/diag/diag_test.go

@@ -0,0 +1,48 @@
+package diag
+
+import (
+	"encoding/json"
+	"strings"
+	"testing"
+)
+
+func TestSchemaStrict(t *testing.T) {
+	e := Enums{Labels: DefaultLabels, Actions: DefaultActions}
+	s := e.Schema()
+	if s["additionalProperties"] != false {
+		t.Fatal("additionalProperties must be false")
+	}
+	props := s["properties"].(map[string]any)
+	req := s["required"].([]string)
+	if len(props) != len(req) {
+		t.Fatalf("strict mode: every property must be required (%d props, %d required)", len(props), len(req))
+	}
+	if _, err := json.Marshal(s); err != nil {
+		t.Fatal(err)
+	}
+}
+
+func TestParseValidate(t *testing.T) {
+	e := Enums{Labels: DefaultLabels, Actions: DefaultActions}
+	good := `{"root_cause_label":"api_pod_killed","confidence":0.9,"evidence":["pods: api-xyz restarts=3"],"proposed_action":"k8s.rollout_restart","target":"demo/api","rationale":"restart loop"}`
+	d, err := Parse(good, e)
+	if err != nil {
+		t.Fatal(err)
+	}
+	if d.ProposedAction != "k8s.rollout_restart" {
+		t.Fatal("wrong action")
+	}
+	bad := []string{
+		`{"root_cause_label":"nope","confidence":0.9,"evidence":["x"],"proposed_action":"none","target":"","rationale":"r"}`,
+		`{"root_cause_label":"unknown","confidence":1.5,"evidence":["x"],"proposed_action":"none","target":"","rationale":"r"}`,
+		`{"root_cause_label":"unknown","confidence":0.5,"evidence":[],"proposed_action":"none","target":"","rationale":"r"}`,
+		`{"root_cause_label":"unknown","confidence":0.5,"evidence":["x"],"proposed_action":"db.promote","target":"","rationale":"r"}`,
+		`{"root_cause_label":"unknown","confidence":0.5,"evidence":["x"],"proposed_action":"none","target":"","rationale":"` + strings.Repeat("a", 201) + `"}`,
+		`{"root_cause_label":"unknown","confidence":0.5,"evidence":["x"],"proposed_action":"none","target":"","rationale":"r","extra":1}`,
+	}
+	for i, b := range bad {
+		if _, err := Parse(b, e); err == nil {
+			t.Fatalf("case %d should fail", i)
+		}
+	}
+}