feat(bench-kit): init safe defaults — pin demo task, install runner deps, prefer https

[psmyrdek]

Wdrożenie punktów A1–A3 z przejścia konsumenckiego template'u 0.7.0 (IDEAS): pierwszy `bench validate` po świeżym `init` nie jest już czerwony z definicji.

Zmiany

• A1 — pin zadania-demo: init odpalony z wnętrza repo produktowego, poza rejestracją repo w `base_repos`, pinuje zadania-placeholder (`repo: demo-app` + zerowy commit) do wykrytego repo i jego HEAD. Zadania firmowe (bez placeholdera) nigdy nie są dotykane; komentarze YAML przeżywają edycję in-place.
• A2 — zależności runnera: init i update robią `npm ci` w `.bench-kit/runner` (podmiana strefy przy update kasuje `node_modules` — dotąd pierwsza komenda `bench` po update kończyła się MODULE_NOT_FOUND). Porażka npm degraduje do podpowiedzi, nie blokuje.
• A3 — preferencja https: wykryty URL SSH jest sondowany po https (`git ls-remote`, `GIT_TERMINAL_PROMPT=0`) i przepisywany, gdy repo odpowiada publicznie — publiczne repo bazowe nie wymaga wtedy żadnych sekretów w CI/kontenerze.

Testy

• 6 nowych testów (pin demo, preferencja https, npm ci na init i update, degradacja porażki, `toHttpsUrl`); pełna suita 509 zielona, typecheck zielony.

🤖 Generated with Claude Code