feat: agents nach prompt-standard perfektionieren + exa-freigabe + dogfooding

- az-orchestrator: schlanker Router + Verifikator neu (Missionssatz-
  description, Routing-Tabelle mit Beispielfragen de/en/cs,
  Verifikations-Checkliste gegen Subagent-Output-Vertraege,
  Eskalationsregeln; glm-5-2 bleibt)
- az-researcher: claude-sonnet-5, Web-vs-lokal-Klassifikation als
  Schritt 1, Output-Vertrag mit Failure-Bedingung, Exa-MCP-Tools
  explizit freigegeben (Websearch_web_search_exa/_fetch) und in der
  Arbeitsweise verankert
- az-basecamp: duenne Shell ueber basecamp-Skill (Skill-Load als
  verpflichtender Schritt 1, Inline-CLI-Liste raus, Beleg-Pflicht)
- az-office: Skill-Load nicht verhandelbar (Prometheus-Muster),
  L1/L2/L3 bleibt, Pruefbefund-Sektion, temp 0.1
- README: Trigger-Description praezisiert (Subagents=Beispielfragen,
  Primary=Missionssatz), Sprachregel-Variante gleichbedeutend, neue
  Standard-Regel Tool-/MCP-Freigabe (<Server>_<Tool> Namensschema)
- tests/protocols/: Dogfooding- + Smoke-Test-Protokoll (az-pruefer
  gruen ueber alle 5 Agents, Routing 5/5, tschechisch -> tschechisch)

Closes beads: az-agent-defaults-h2j, -99v, -bfj, -m4t, -jtp

README.md

@@ -250,19 +250,28 @@ dürfen sinngemäß abweichen):
   der Skill bereits trägt, bleibt draußen.
 - **Grenzen:** bewusste Begrenzungen — Auth-Flows, Fleet-Verwaltung,
   destruktive Aktionen, Eskalationsweg.
+- **Tool-/MCP-Freigabe:** Schränkt ein Agent Tools ein (`tools:` bzw.
+  `permission:`), muss er jedes benötigte MCP-Tool **explizit freigeben** —
+  MCP-Tools heißen `<ServerName>_<ToolName>` (z. B.
+  `Websearch_web_search_exa` für den Exa-Server `Websearch` aus `mcp/`).
+  Ohne Profil gelten die Defaults des Harness.
 
 ### Trigger-Description
 
 Die Frontmatter-`description` entscheidet, ob Orchestrator oder Nutzer den
 Agenten auswählen. Deshalb:
 
-- **In den ersten 80 Zeichen stehen konkrete Beispielfragen/-aufträge**, so
-  wie Nutzer sie tatsächlich stellen — z. B. „Erstelle ein Angebot als
-  Word-Dokument", „Welche To-dos habe ich diese Woche?".
-- Danach Kurzform der Fähigkeiten; Rolle/Zugehörigkeit ans Ende.
-
-Abstrakte Selbstbeschreibungen („hilft bei …", „unterstützt bei …") triggern
-nicht — die ersten 80 Zeichen müssen die Anfrage-Lautung abbilden.
+- **Subagents** (vom Orchestrator über die Routing-Tabelle gewählt): **In
+  den ersten 80 Zeichen stehen konkrete Beispielfragen/-aufträge**, so wie
+  Nutzer sie tatsächlich stellen — z. B. „Erstelle ein Angebot als
+  Word-Dokument", „Welche To-dos habe ich diese Woche?". Danach Kurzform der
+  Fähigkeiten; Rolle/Zugehörigkeit ans Ende. Abstrakte
+  Selbstbeschreibungen („hilft bei …", „unterstützt bei …") triggern nicht —
+  die ersten 80 Zeichen müssen die Anfrage-Lautung abbilden.
+- **Primary-Agenten** (vom Nutzer aus einer Liste gewählt): **In den ersten
+  80 Zeichen steht der Missionssatz** — ein prägnanter Satz, wofür der
+  Agent der Standard-Anlaufpunkt ist. Danach Trigger-Beispiele und
+  Fähigkeiten.
 
 ### Output-Vertrag (Subagent-Pflicht)
 
@@ -280,8 +289,9 @@ ein gescheiterter Auftrag** — keine abgeschlossene Arbeit.
 ### Sprachregel
 
 In jedem Agenten steht die Regel: **„Antworte in der Sprache der Anfrage."**
-Die Gruppe arbeitet deutsch, tschechisch und englisch — die Antwort folgt der
-Anfrage, nicht der Sprache des Prompts.
+(der Orchestrator nutzt die gleichbedeutende Variante „Antworte in der
+Sprache der Nutzeranfrage.") Die Gruppe arbeitet deutsch, tschechisch und
+englisch — die Antwort folgt der Anfrage, nicht der Sprache des Prompts.
 
 ### Größen-Grenze