fix(v3): T30 安全加固（Mimosa 深度扫描驱动）

- 路径参数 ID 白名单（runs/agent/sessions），杀灭 Windows 反斜杠穿越（..%5C 直读 .env）
- artifacts 端点关押 + pipeline 工件名消毒（模型输出名剥路径成分）
- /llama/download dest 关押 models/ 内 + URL 协议白名单（先于 HF 别名转换）
- GET /config architect.api_key 打码（api_key_set + 前 6 位），PUT 空串=保留
- TrustedHostMiddleware 信任围栏（GATEWAY_TRUSTED_HOSTS 可覆盖）+ __main__ 默认 127.0.0.1
- review 抽样改 CSPRNG
- 新增 tests/test_security_hardening.py（13 项，全部离线）

gateway/api.py

@@ -209,9 +209,13 @@ try:
         return HTMLResponse("<h1>端云协同 LLM 系统</h1><p>请先构建前端：cd webapp && npm run build</p>")
 
     def _check_id(value: str, what: str = "ID") -> str:
-        """校验路径参数 ID（防目录穿越/注入：仅允许系统生成的字符集）。"""
+        """校验路径参数 ID（防目录穿越/注入：仅允许系统生成的字符集）。
+
+        非法格式一律按 404 处理——此类 ID 在本系统里不可能存在，
+        不泄露校验规则本身。
+        """
         if not _ID_RE.fullmatch(value or ""):
-            raise HTTPException(status_code=400, detail=f"非法 {what}: {value!r}")
+            raise HTTPException(status_code=404, detail=f"未找到 {what}: {value!r}")
         return value
 
     @app.get("/health", response_model=HealthResponse, tags=["system"])