feat(ai): mcp-k8s через ToolHive (read-only RBAC)

MCP-сервер k8s из реестра ToolHive: ghcr.io/stackloklabs/mkp/server:0.4.3, transport streamable-http.
Отдельный SA mcp-k8s и ClusterRole mcp-k8s-readonly (только get/list/watch).
Core-группа перечислена поимённо, чтобы не открывать secrets; остальные группы явным списком,
потому что apiGroups: [*] включает и core-группу. Наружу не выводим: без oidcConfigRef прокси
ToolHive неаутентифицирован.

kubernetes/apps/ai/kustomization.yaml

@@ -8,4 +8,5 @@ components:
 
 resources:
   - ./namespace.yaml
+  - ./mcp-k8s/ks.yaml
   - ./toolhive/ks.yaml