fix(strix): 설치 실행 파일 권한 정규화

[seonghobae]

원인

중앙 커밋 b50e4f78은 PR 증거 실행에서 Strix 실행 파일의 group/world 쓰기 권한을 fail-closed로 거부하도록 강화했습니다. 그러나 Install Strix 단계는 GitHub runner의 pip 산출물 권한을 정규화하지 않아 ContextualWisdomLab/codec-carver#250의 현 헤드 실행 29511363963이 스캔 시작 전 exit 127로 종료했습니다.

오류 근거: STRIX_EXECUTABLE_PATH must not be group/world writable.

수정

• pip 설치 전에 umask 022를 설정해 새 실행 파일이 group/world writable로 생성되지 않게 합니다.
• 검증된 절대 Strix 실행 파일에 chmod go-w를 적용합니다.
• 권한 정규화를 SHA-256 캡처 전에 수행합니다.
• 기존 절대 경로, 소유자, 설치 루트, SHA-256 신뢰 경계는 유지합니다.
• Python 순서 계약과 기존 셸 자기검증에 회귀 단언을 추가합니다.

검증

• python3 -m pytest tests/test_required_workflow_queue_contract.py -q: 46 passed
• STRIX_TEST_CASE_FILTER=success bash scripts/ci/test_strix_quick_gate.sh: pass
• actionlint .github/workflows/strix.yml: pass
• bash -n scripts/ci/test_strix_quick_gate.sh: pass
• Ruff check and format: pass
• git diff --check: pass
• CodeGraph sync/status: up to date

전체 비필터 자기검증은 약 58분 동안 최신 main의 기존 정책 기대값 불일치 여러 건을 재현한 뒤 메모리 압박으로 137 종료했습니다. 이 권한 수정에서 정책을 임의로 바꾸지 않고 #571에 별도 BLOCKER로 보존했습니다.

Closes #569
Related: #571
Unblocks: ContextualWisdomLab/codec-carver#250

[seonghobae]

중복 구현을 정리합니다. 동일 원인의 설치 실행 파일 권한 문제는 #570 (1ee7c9c, merge 34d67a1)에서 먼저 해결되어 병합되었습니다. 전체 Strix 셀프테스트 기준선의 별도 불일치는 #571에서 추적하며, #569는 codec-carver PR #250의 새 중앙 워크플로 실행으로 실제 복구를 확인한 뒤 종료하겠습니다.