KF-LAB-01 livré : laboratoires de sécurité — profils de capacités + isolation mesurée + prototype labctl (RM-022/RC-022)

Politique : zones Z0-Z4, profils OBSERVER→PRODUCTION_ADMIN avec grants HMAC fail-closed, netns par expérience, artefacts dangereux alignés ADR-10/11, contrats hub catégorie security_lab ; ADR-0016 proposé. Prototype v0 branche mission/kf-lab-01 : labctl (bwrap+netns+prlimit, dumpcap hôte, snapshot/archive Z4, publish hub) — banc 17/17 PASS in vivo, 10 négatifs PASS, isolation prouvée (hôte+DNS inatteignables depuis lab), publication hub acceptée pub-9c7abbdf679abe87. Changé : 9 docs docs/architecture/knowledge-fabric/phase-1/security-lab/ + lab/ (3 commits) ; [chemin-interne] (Z3 jetable + Z4 append-only preuves). Aucun pare-feu/SSH/secret/permission admin modifiés ; webui (mission/model-catalog d'un autre agent) intact. PARTIAL : egress bridge non implémenté ; M1 opérateur (URGENT : fermer 3001 tcp obsidian-sync 0.0.0.0/0 ; comptes Unix ; cgroups v2 ; fusion+déploiement KF-02). Rollback : git branch -D mission/kf-lab-01 && rm -rf [chemin-interne] (strictement additif). Rapports : RM-022 + RC-022 (coffre ; RC publié), [[RC-022-kf-lab-01--laboratoires-de-scurit-conjoi]]