fix(desktop): integrações MCP e relatório de tokens do Runtime

[wesleysimplicio]

Ajustes do Desktop após a atualização do Runtime

• Torna Integrações MCP e Relatório de tokens acessíveis pela navegação normal, mantendo o design atual.
• Consulta o ledger canônico pelo Runtime, com filtros de projeto/sessão/período, validação estrita e descarte de resultados desatualizados. Ausência de telemetria não vira consumo zero; uso registrado não é apresentado como cobrança ou economia comprovada.
• Corrige a aplicação das integrações: install --global --json retornava apenas um plano. O Desktop agora exige revisão, consentimento, correspondência do digest e recibo de instalação concluída antes de informar sucesso.
• Serializa ações da conta, retorna a Today após login ativo e mantém erros visíveis. Registro de host não vira handshake; saúde do Runtime não inventa modelos ou capacidades disponíveis.
• Exporta JSON/CSV por uma operação nativa limitada aos relatórios já recebidos do Runtime. O WebView envia somente digest/formato; o destino é Downloads, sem sobrescrita, com erros de permissão visíveis e sem expor escrita genérica de arquivos.
• Corrige a distinção entre testes de preview/IPC simulado e aceitação nativa. Documenta a verificação do sidecar depois do empacotamento/assinatura.

Verificação manual/local

• 73 testes Vitest em 34 arquivos.
• 22 testes Rust, incluindo smoke real de consulta ao Runtime verificado.
• 12 cenários Playwright (preview e IPC explicitamente simulado).
• 256 testes Python e 30 subtestes; política do repositório e git diff --check limpos.
• Os dois checks remotos source-policy não chegaram a iniciar por indisponibilidade da conta de GitHub Actions. Não são reportados como aprovados: os comandos equivalentes da política e whitespace foram executados localmente, sem alterar workflows, checks ou regras de merge.
• Build TypeScript/Vite e pacote Tauri macOS arm64 concluídos localmente, sem builds/publicação por GitHub Actions.
• App macOS de QA executado com o Runtime embutido da release pública v3.8.39, SHA-256 c6dca7c384aaedb0226f6ea93a0dbe259a175f999c070e6c8ef609af519e5130, e ledger sintético isolado. Os botões JSON e CSV geraram arquivos válidos e a navegação continuou responsiva.
• O teste nativo reproduziu inicialmente um bloqueio no caminho de download do WebKit, inclusive no .app; passou após substituir esse caminho pela exportação nativa restrita. Nenhuma permissão do sistema foi alterada.
• Após o empacotamento, o Runtime original foi restaurado no pacote de QA e somente o app externo foi selado novamente. A assinatura de código do pacote e o hash exato do sidecar foram conferidos.

Limites desta entrega

Este PR é de código e documentação: não substitui assets imutáveis da v3.8.39, não cria outra release e não instala o app de QA sobre o app do usuário. O pacote de QA usa assinatura ad-hoc, não notarização Apple. Não foram certificados Desktop nativo Windows/Linux, novo OAuth real, handshakes vivos dos hosts nem aplicação de configuração sobre os hosts reais. O plano real de integração foi inspecionado sem aplicá-lo. Plugins de marketplace e ações sem API do Runtime não são anunciados como instalados ou funcionais.