nvt M3: driver-lease — headless/hands-on/ekstern på samme work-in-progress

[olebhansen]

Del av #95. Se doc/plans/nvt-agent-integrasjon.md (PR #94), avsnittet «Driver-lease». Forutsetter M1 (+ M2 for UI-togglen).

Mål

Kontrollert veksling mellom tre måter å drive samme work-in-progress (nvt-instansens workspace + agent-branch): headless (pipelinen driver), hands-on (operatør i code-server/tmux i samme miljø) og ekstern (sr-dev/Claude Code på egen sjekkout av samme branch).

Leveranser

1. Lease-fil per topic i bridgens state ({mode, holder, acquired_at, note}); endringer publiseres som events (synlig i konsollen).
2. Bridge-håndheving: prompts injiseres kun i headless; events til topics med annen lease blir liggende i innboksen (opphavstråden beholder «working»-reaksjonen — ingenting tapt, ingenting fabrikkert).
3. Sjekkpunkt-protokoll ved leasebytte: før frigivelse fra headless ber bridgen agenten committe og pushe WIP (prompt + vent på signal done); ved gjenopptak er første prompt «pull og les deg opp på ny historikk». Samme forventning dokumenteres for ekstern driver (push før leasen gis tilbake).
4. Toggle i konsollen (via bridge-API) + CLI-fallback.

Akseptansekriterier

• Bytte headless → hands-on → headless midt i en oppgave uten tapte events eller commit-kollisjoner.
• Ekstern modus verifisert: sr-dev fortsetter på samme branch fra egen sjekkout, og nvt-agenten plukker opp historikken ved gjenopptak.
• Lease-endringer er sporbare (events + konsoll).
• Leasen er koordinering, ikke sikkerhetsgrense — dokumentert eksplisitt.