feat: AI 诊断 Agent 支持执行系统诊断 shell 命令

扩展 Agent 命令工具，除 kubectl 外新增节点宿主机系统诊断命令支持：

- agent_tools.py: 新增 shell 命令白名单分类器 (classify_shell_command)
  - 只读白名单: systemctl status/is-active、journalctl、crictl ps/logs、
    docker ps/logs、df、free、ss、ip addr、ps、mount、lsmod、dmesg、
    ping、nslookup、cat (限 /proc /sys /etc/kubernetes 等安全路径) 等 30+ 命令
  - 写白名单: systemctl restart/stop/start/reload 等需人工审批
  - 统一分发器 classify_agent_command 按命令前缀路由
  - 统一执行入口 execute_command 走 subprocess_exec (无 shell 注入风险)
- ai_agent.py: 更新 AGENT_SYSTEM_PROMPT 告知 AI 两类可用工具及安全规则
  - 三个调用点 (初始探测/分类/执行) 切换到统一接口
- main.py: 审批执行处改用 execute_command
- tests: 新增 19 个用例覆盖 shell 命令分类、混合执行、白名单拒绝
  - 全部 44 个测试通过
- 前端/README: 文案与文档补充 shell 命令支持说明

安全策略不变: 禁止 shell 操作符/管道/重定向/多命令拼接，
非白名单命令 (rm/vi/apt 等) 直接拒绝。

frontend/src/App.vue

@@ -280,8 +280,8 @@
         </template>
         <el-alert
           :title="activeAgentMode === 'ai'
-            ? 'AI 执行模式：Agent 自动执行只读 kubectl 命令，修改或交互命令仍需人工批准。'
-            : '手动执行模式：Agent 只生成安全的 kubectl 命令，不会在服务器上执行，请复制命令到终端手动运行。'"
+            ? 'AI 执行模式：Agent 自动执行只读 kubectl 和系统诊断命令 (systemctl status、journalctl、crictl ps、df 等)，修改或交互命令仍需人工批准。'
+            : '手动执行模式：Agent 只生成安全的诊断命令，不会在服务器上执行，请复制命令到终端手动运行。'"
           type="info"
           :closable="false"
           show-icon
@@ -690,6 +690,7 @@ function agentEventTitle(event) {
     thinking: 'Agent 思考', command: '准备执行命令', result: '命令执行结果',
     manual_command: '请手动执行命令',
     approval_required: '发现修改命令，等待审批', command_rejected: '命令已被安全策略拒绝',
+    verification_required: '需要继续复检', response_rejected: 'AI 响应格式已自动纠正',
     final: '自主诊断结论', error: 'Agent 执行异常',
   }
   return titles[event.type] || event.type