feat(sense): T-X5 云端评判晋升表×conformal 双闸门——本地档自动接管（采纳 cortiq promotion）

- gateway/sense/promotion.py：PromotionTable 状态机（candidate/promoted/demoted）
  * 晋升门：n_total>=n_min 且 通过率>=promote_lb 且 soak 浸泡期满足
  * 退化：promoted 期间通过率<demote_lb 自动降级；降级后可凭数据恢复
  * 一票否决：tier=T3 观察不进通过率统计，已晋升者立即降级
  * 持久化 sense_promotion 表（CREATE IF NOT EXISTS 幂等）
- grader：live 模式对已晋升标签的 T2 决策（无 T3 信号/非 fallback）升级 T1，
  hard_gates.promotion_applied 如实标注；T1/T3/fallback 路径不受影响
- 回填链路：T1 审计抽样带 promo:<label> 标签 -> 人工 verdict approve=ok
  经 /review/{id} 提交时回填晋升表（失败不影响审核主流程）
- 双闸门语义：conformal 阈值保证单条决策风险率，晋升表保证标签级接管节奏；
  collect 数据不足（n_min 未满）不晋升，全部迁移可经 T-X4 留痕审计

pytest 474 passed（T-X4 后 466 + 8）

任务拆解与执行计划.md

@@ -170,3 +170,5 @@ P0 完成后的能力：干净的后端抽象 + 可量化的评测 + 可追溯
 | T-X3 | 路由决策缓存（外部采纳 cortiq 决策哈希缓存）：DecisionCache（sha256+LRU+TTL60s，4096 条）前置 grader live 模式，embed+线性头去重；观察/审计不跳过、invalidate 同步清空、collect/shadow 不缓存 | ✅ 完成 | T-X3 |
 | T-X6 | 模型池能力位过滤（外部采纳 cortiq capabilities）：条目 capabilities{vision,tools,context_window}（缺省全兼容）+ filter_by_capabilities 硬过滤 + 代理请求需求推断（图片→vision/tools/上下文）与重定向 | ✅ 完成 | T-X6 |
 | T-X4 | 可解释决策留痕（外部采纳 ai-model-router 决策三元）：sense_decisions 表（reasons/candidate_scores/rejected）+ grader 全模式落库 + /proxy/admin/sense-decisions 查询；附带修复 settings_provider 未注入导致 sense live 分流失效的潜伏 bug | ✅ 完成 | T-X4 |
+| T-X5 | 云端评判晋升表×conformal 双闸门（外部采纳 cortiq promotion）：PromotionTable 状态机（n_min/通过率/soak 晋升、退化降级、T3 一票否决）+ grader live 模式 T2→T1 应用 + 人工核验 verdict 回填（promo 标签） | ✅ 完成 | T-X5 |
+| T-X7~X9 | P2 立项不实施：多协议透传（/v1/messages）/ 工具输出清洗沙箱（受限 DSL）/ 网关内置 A/B 实验框架 | 📋 立项 | 待排期 |