fix(security): sleeper 旗標不再是任意人格的萬用鑰匙（S1）

問題：`requireOwner()` 看到 sleeper 旗標就直接 return，把驗證整個外包給
PreToolUse hook；而 hook 認得出這支 CLI 靠的是檔名正則。把 scripts/ 複製出去、
CLI 改個名字，hook 全程回 pass，任何程序都能用那個旗標對**任意人格**
remember／recall／emotion --apply——等於完整讀寫權。

修法：CLI 自己驗，證據取自 hook 唯一寫得下、程序偽造不了的東西——
session 檔（`.runtime/sessions/<id>.json`）裡的 sleeper pin。pin 由 hook 依
`event.agent_type` 寫入，沒經過 hook 的程序拿不到。

- `pinAgent()` 多記角色（`{ persona, role, pinned_at }`），`pinOf()` 相容舊的純字串格式；
  舊格式沒有角色，一律不算 sleeper 授權，hook 下次 first-touch 時會補上。
- 新增 `sleeperPins(sessionId, slug)`：本 session 中 pin 在該人格上的 sleeper。
- `requireSleeperPin()` 進 `sleeperAccess()`（requireOwner／requireMember 都會經過）：
  沒有對應的 sleeper pin 就 die，連 sleeper 租約都不會留下。
  有帶 `--agent-id` 時額外要求它就是那個被 pin 的 agent。
- 連帶更新讀 pins 的三處：resolveScope、`leave` 的 guest pin 清理、SubagentStop hook。

persona-sleeper sub agent 的正常流程不受影響：hook 的 first-touch pinning 在它
第一個指令就寫好 pin，之後每個收尾指令都驗得過。

測試：新增 10 項（實際把 scripts/ 複製成別的檔名重現攻擊）——改名後 hook 確實
不表態、無 pin 時 remember/recall/emotion 都被 CLI 擋下且不留租約、pin 在別的
人格上不能跨過去、guest pin 與舊格式 pin 都不算授權、真有 pin 時照常放行。
345 → 355 項全過。

README.md

@@ -453,6 +453,9 @@ node scripts/persona.mjs sleep --session <PERSONA_SESSION> --release  # 收工
 - **一次睡多個人格**：可用 `sleep --personas A,B` 批次處理；主程序只是把流程排成一串，**每個人格仍各自判斷、各自收尾、各自回 JSON**。
 - **回傳值刻意很窮**：`{persona, ok, slept_at, steps, sync, kept_lock}`——只有狀態。
   回傳值本身就是一條會繞過隔離的通道，所以在 CLI 這一層封死，不靠提示詞自律。
+- **`--as-sleeper` 由 CLI 自己驗**：它代表「我是 persona-sleeper 型 sub agent」，而型別只有 hook 看得到。
+  CLI 不把這件事外包給 hook（hook 認 CLI 靠檔名，改名就繞過去了），而是直接查 hook 寫在
+  `.runtime/sessions/<id>.json` 裡的 sleeper pin：本 session 沒有 pin 在目標人格上的 sleeper 就拒絕。
 - **鎖**：沒有活鎖 → 取 5 分鐘的 sleeper 租約；同 session → 直接睡；死鎖 → 可接手；
   **別的程序活鎖住 → 拒絕**（硬睡會讓兩邊的記憶互相覆蓋）。
 - 順序上的硬相依：關係時間戳早於裁短期、push 早於 release、reindex 晚於固化。