Skills marketplace: install с signature verification

## Что это Marketplace skill'ов с инсталлом через signed-package: каждый skill подписан мейнтейнером, ROX проверяет подпись перед активацией. Включаются / выключаются на уровне workspace. Версии semver, обновления через UI с changelog. ## Зачем Доверие к skill'ам — критично: они могут читать sources и эмитить actions. Подпись закрывает supply-chain угрозу «кто-то опубликовал malicious skill». ## Источники вдохновения - [kunkunsh/kunkun](https://github.com/kunkunsh/kunkun) — skill marketplace - [github/spec-kit](https://github.com/github/spec-kit) — spec-driven skill format - [safishamsi/graphify](https://github.com/safishamsi/graphify) — distributable skill ## 🔗 Linear - [PZD-335](https://linear.app/kuhjie/issue/PZD-335) — backing ticket