feat: conectar sistema centralizado de seguridad al launcher y runtime

- Migrar admin a security/user-groups.yaml (admins group)
- agents.New() ahora acepta acl.ACL pre-resuelta como parámetro;
  elimina construcción interna desde cfg.Security.Roles
- cmd/launcher: carga shellsecurity.Load("security/") al arranque;
  si falla, WARN + política vacía (open access). Para cada agente
  llama pksecurity.ResolveACL y pasa la ACL a agents.New()
- cmd/launcher/registry.go: stores secPolicy en launchDeps para
  que reload() también resuelva ACL centralmente
- shell/matrix/listener.go: elimina invite gating y allowlist check
  basados en AllowedUsers; el control de acceso lo hace el runtime
- internal/config/schema.go: depreca campos Roles y AllowedUsers
  (backward compat, no eliminados)
- agents/*/config.yaml: elimina bloques security.roles y allowed_users
- dev/feature_flags.json: activa centralized-security-groups (enabled: true)

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

shell/matrix/listener.go

@@ -102,22 +102,6 @@ func (l *Listener) Run(ctx context.Context) error {
 			return
 		}
 
-		// Invite gating: if allowlist is configured, reject invites from unauthorized users
-		if len(l.cfg.Filters.AllowedUsers) > 0 {
-			allowed := false
-			for _, u := range l.cfg.Filters.AllowedUsers {
-				if evt.Sender.String() == u {
-					allowed = true
-					break
-				}
-			}
-			if !allowed {
-				l.logger.Info("rejecting invite from unauthorized user",
-					"room", evt.RoomID, "inviter", evt.Sender)
-				return
-			}
-		}
-
 		l.logger.Info("received room invite, joining", "room", evt.RoomID, "inviter", evt.Sender)
 		if _, err := l.client.raw.JoinRoom(ctx, evt.RoomID.String(), "", nil); err != nil {
 			l.logger.Error("failed to auto-join room", "room", evt.RoomID, "err", err)
@@ -281,25 +265,6 @@ func (l *Listener) shouldHandle(evt *event.Event) bool {
 		}
 	}
 
-	// Check allowlist — if configured, only allowed users can talk to the bot
-	if len(f.AllowedUsers) > 0 {
-		allowed := false
-		for _, u := range f.AllowedUsers {
-			if evt.Sender.String() == u {
-				allowed = true
-				break
-			}
-		}
-		if !allowed {
-			l.logger.Debug("ignoring unauthorized user", "sender", evt.Sender)
-			if f.UnauthorizedResponse == "explicit" {
-				ctx := context.Background()
-				_ = l.client.SendText(ctx, evt.RoomID.String(), "No tienes permisos para interactuar con este agente.")
-			}
-			return false
-		}
-	}
-
 	// Check if room is in the listen list
 	if len(l.cfg.Rooms.Listen) > 0 {
 		allowed := false