feat(ai-env): wire the TypeSafe key and enable Jev shadow gates

AI VM の apply.sh が Secret Manager の selfheal-typesafe-api-key を取得し、
agent コンテナに JEV_KEY_FILE として渡す。ai.env で JEV_MODE=shadow、
JEV_MODEL=jev-1.13.0 を設定し、鍵が未登録でも agent は通常どおり動く
（ゲートは鍵未登録を記録するだけ）。

vm/ai-env/compose.yaml

@@ -10,6 +10,7 @@ services:
       RAG_DSN: "postgres://ai:${RAG_DB_PASSWORD}@rag-db:5432/ai?sslmode=disable"
       HITL_URL: http://hitl:8081
       OPENAI_KEY_FILE: /run/secrets/openai-api-key
+      JEV_KEY_FILE: /run/secrets/typesafe-api-key
       K8S_TOKEN_FILE: /run/secrets/k8s-token
       K8S_CA_FILE: /run/secrets/k8s-ca.crt
       PROMPT_DIR: /etc/ai/prompts