KF-02 addendum — double mandat labo/production vérifié [RM-014/RC-014, commit 955c5fb]

Addendum opérateur appliqué à KF-02 (sans remplacer ses objectifs) : (1) chaque correctif R1/R4/R6/R9/R11 re-evalué — aucun n'entrave l'analyse malware/PCAP/OSINT/tests d'injection autorisés (borne le passage donnée→instruction et l'héritage de privilèges seulement) ; (2) préservation des preuves démontrée par 2 tests (URI d'une sonde de recherche légitime archivée ENTIÈRE dans anomaly_events après fix R1 ; détection de sonde toujours fonctionnelle ; aucune purge, AUCUNE donnée supprimée) ; (3) principe de permissions destructives posé (scopée/tracée/réversible/dry-run) à implanter dans KF-DATA-01 ; (4) critères d'acceptation doubles ajoutés au security-gate (critere 4 : fusion exige 1-4) ; (5) interfaces documentées avec KF-03 (contrats épistémique/sensibilité), KF-05 (13 tests au catalogue), KF-LAB-01 (frontière labo préservée, durcissement réseau = allowlist), KF-DATA-01 (rétention = politique tracée). Commit additif 955c5fb sur mission/kf02-security ; 13 tests KF-02 + 391/6 PASS ; RIEN déployé en production (R1 reste actif tant que la branche n'est pas fusionnée).