feat(wave): #119/#122/#131/#132 verts + sprint plugins ESM/persistance #135/#136/#139

État d'intégration confiné à la branche batch. Les tickets #119 (skills →
capacités agent découvrables), #122 (override permissions par défaut), #131
(effort par agent/presets) et #132 (outil MCP d'édition du contexte projet)
sont verts en périmètre. Le sprint plugins multi-fichiers ESM / persistance
plugin-owned (#135/#136/#139) est co-implémenté dans les MÊMES fichiers de
câblage (frontend/src/ports/index.ts, backend/src/lib.rs, domain/ports.rs,
backend/dto.rs), inséparable sans staging interactif (indisponible ici).

Commit unique volontaire : préserve l'état vert QA sans découpe hunk risquée.
NON mergé vers develop tant que #137 (QA e2e plugins) n'est pas vert.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

crates/application/src/permission.rs

@@ -7,7 +7,10 @@
 use std::sync::Arc;
 
 use domain::ports::PermissionStore;
-use domain::{AgentId, EffectivePermissions, PermissionSet, Project, ProjectPermissions};
+use domain::{
+    AgentId, EffectivePermissions, PermissionSet, PermissionShadowReport, Project,
+    ProjectPermissions,
+};
 
 use crate::error::AppError;
 
@@ -131,6 +134,7 @@ impl ResolveAgentPermissions {
         let doc = self.store.load_permissions(&input.project).await?;
         Ok(ResolveAgentPermissionsOutput {
             effective: doc.resolve_for(input.agent_id),
+            shadowed: doc.shadow_for(input.agent_id),
         })
     }
 }
@@ -147,4 +151,6 @@ pub struct ResolveAgentPermissionsInput {
 pub struct ResolveAgentPermissionsOutput {
     /// Resolved policy, or `None` when neither project nor agent policy exists.
     pub effective: Option<EffectivePermissions>,
+    /// Diagnostic report for agent-level allows shadowed by project defaults.
+    pub shadowed: PermissionShadowReport,
 }