Multi-tenant: scope branding с runtime brand-check

## Что это Каждый workspace (tenant) получает unique `WorkspaceId` (UUID v7), который через TypeScript brand types проникает во все API контракты: `WorkspaceId`, `WorkspaceScopedToken`, `WorkspaceScopedPath`. На runtime guard `brandCheck()` верифицирует, что scope, переданный в Pi-agent IPC, соответствует expected tenant. Любая попытка cross-workspace атаки (подделать scope, или leak token из tenant A в tenant B) бросает `BrandedScopeBreachError` и логируется как security-event. Компоненты: `@ ## 🔗 Linear - [PZD-249](https://linear.app/kuhjie/issue/PZD-249) (match confidence: 0.357)