Browser adapter: iframe sandbox + CSP

## Что это PZD-96 follow-up: ужесточить sandbox iframe, CSP без unsafe-inline, allow-list origins. ## Критерии приёмки - [ ] sandbox="allow-scripts allow-same-origin" но не allow-top-navigation - [ ] CSP без unsafe-inline (nonces) - [ ] postMessage origin check ## Зачем История E06-S03 из roadmap-эпика E06. Артефакт-вьюверы превращают output агента в живой документ, который можно редактировать, экспортировать и шарить. **Что войдёт в первую версию:** - [ ] sandbox="allow-scripts allow-same-or ## 🔗 Linear - [PZD-236](https://linear.app/kuhjie/issue/PZD-236) (match confidence: 1.0)