fix(ffi): validate model geometry at the C ABI load boundary

[holtwood]

问题

Validator::validateModelConfig 实现了正确的模型几何校验（num_heads % num_kv_heads、
hidden_dim % num_heads、head_dim 偶数），注释还写明"静默截断会导致 kv_head 映射错位"。
但它全仓只在 inference_engine.cpp:65 被调用一次，C ABI 路径 tinyllm_load
（ffi.cpp，分页/策略 1 与 paged-serving 走的那条）完全不调用 —— grep 计数为 0。

而 attention kernel 用整数除法做 GQA 映射：

const int group_size = num_q_heads / num_kv_heads;
const int kv_head    = q_head / group_size;   // 不整除时超出 [0, num_kv_heads)

num_heads 不被 num_kv_heads 整除时 kv_head 越界，最后一个 token 的 K/V 读越过缓冲末尾。

证据（不是推理）

最小复现 Hq=14, Hkv=3, D=64, visible=8，把 K 放在显存池尾部以避免相邻分配掩盖越界：

========= Invalid __global__ read of size 2 bytes
=========     at tiny_llm::kernels::attention_decode_kernel+0xf20
=========     Access to 0x718000000 is out of bounds
=========     and is 1 bytes after the nearest allocation ... of size 2097152 bytes
cudaDeviceSynchronize -> unknown error
========= ERROR SUMMARY: 13 errors

kv_head = 13/4 = 3，合法范围 [0,3)，越界读 64 个 half = 128 字节，正好落在分配边界后
1 字节。unknown error 说明 CUDA 上下文被毒化 —— 不只是当次请求失败。

补充：GGUFParser::extractModelConfig 对这类元数据是"补默认值"而非报错，且
head_dim = hidden_dim / num_heads 同样是不校验整除性的截断除法。

修复

在 extractModelConfig() 之后、loadGGUF() 之前调用 Validator::validateModelConfig：

• 一处覆盖整条 C ABI 路径（attention prefill/decode、RoPE、FFI 缓冲尺寸），
  不是只堵 attention；
• 对合法模型零行为变化（校验在任何 CUDA / 权重加载之前，纯 host）；
• 不改 kernel 层：kernels/ 没有 Result 通道，在那里"校验"只能静默 return，
  比现状更糟；
• 不只修 forwardPaged：那样 prefill 分支和策略 2 仍然暴露。

测试

新增 tests/test_validator.cpp（纯 host，无 GPU 的 CI 机器同样运行）：

• validateModelConfig 9 项单元测试（Validator 此前零覆盖），含 1..32 全部
  非整除 head 组合的穷举，以及 14/3 这个越界回归锚点；
• 2 项 C ABI 边界回归：用字节级构造的 GGUF 断言 tinyllm_load 拒绝 14/3
  几何，且不误拒合法的 14/2。

验证

cmake -S . -B build -DCMAKE_BUILD_TYPE=RelWithDebInfo -DBUILD_TESTS=ON && cmake --build build -j12
./build/tiny_llm_tests                                  # 198 passed / 11 skipped / 0 failed
./build/tiny_llm_tests --gtest_filter='*ModelConfig*'    # 11 passed
clang-format 18.1.8 --dry-run --Werror（CI 命令）        # 全仓 0 violation

变异检验：移除 tinyllm_load 中的校验调用后，
ModelConfigBoundaryTest.TinyLlmLoadRejectsNonDivisibleHeadCounts 失败（错误信息变成
load weights: ...），确认该测试是真门禁而非装饰。

范围

• 独立于 TLLM-P0-004（direct paged kernel）与其设计包（docs(design): TLLM-DPA direct paged decode attention design package (TLLM-P0-004 设计门禁) #5）：这是 C ABI 边界修复，
  不是 attention 实现变更。
• 不改 C ABI 签名、不改 paged-serving。
• 未处理 extractModelConfig 的"补默认值"行为本身（改动面更大、可能影响宽松解析
  的既有行为），仅在其下游加校验；如需收紧可另开任务。

权限说明

本 PR 只提交，不合并（merge_pr: false）。