feat: add MCP security gate for CI

[mawoole]

Résumé

• ajoute npm run audit:ci avec un seuil bloquant configurable (critical, high ou medium)
• échoue si aucun serveur attendu n’est découvert avec --require-servers
• limite la CI aux configurations explicitement fournies avec --no-default-paths
• génère un rapport SARIF compatible avec GitHub Code Scanning
• documente les codes de sortie et un workflow GitHub Actions complet

Sécurité

Le contrôle s’exécute sur l’inventaire assaini du collecteur. Le résumé console
n’affiche ni extraits de configuration ni valeurs sensibles. Un test de bout en
bout vérifie également qu’un secret concret est remplacé par ${REDACTED} dans
l’inventaire et absent des logs.

Validation

• npm run lint
• npm test — 69 tests unitaires et 2 tests de rendu
• scénario CLI conforme — code 0 et SARIF généré
• scénario CLI dangereux — code 3 et constat MCP-EXEC-01
• parsing du workflow GitHub Actions