feat(domain,application,infrastructure,backend,app-tauri,frontend): lot utilisateur #350 — animation d'écartement des onglets au drag/reorder, icônes projet N&B colorisées derrière les messages, tools/skills plugin utilisables par les agents autorisés en headless, refs stables des skills assignés (QA verte)

- Tabs (shared/ui): cible de drop matérialisée par écartement before/after pendant le drag/reorder, reset via rAF sans reliquat, clavier et annonces préservés.
- projectIcons: icônes projet en noir et blanc par défaut, colorisées avec la couleur du projet, occupant la cellule et visibles derrière les messages rendus légèrement transparents.
- Permissions plugin headless: PluginMcpServerSpec transporte l'allowlist exacte authorized_tools regroupée par (pluginId, serverId) depuis les PluginToolRef; projection Codex enabled_tools + default_tools_approval_mode="approve" — une permission déjà accordée au niveau projet/template ne déclenche pas de seconde approbation, un tool non assigné reste hors surface appelable; réserves orchestrator/mcp server+tools alignées, dto backend + dto_agents app-tauri.
- Skills: ref stable plugin:<pluginId>:<skillId> exposée dans le contexte agent, idea_skill_read(ref=...) canonique via read_assigned_by_ref, erreur structurée ambiguousSkillName avec candidates; SkillsPanel dédoublonné (android-build-install); agents-dev/L12-skills.md à jour.
- Docs: ARCHITECTURE.md section 22.3 (projection des autorisations agent vers les runtimes plugin).
- QA verte #350 reconfirmée avant commit.

crates/application/src/error.rs

@@ -27,6 +27,15 @@ pub enum AppError {
     #[error("invalid input: {0}")]
     Invalid(String),
 
+    /// A legacy skill-name lookup matched more than one assigned capability.
+    #[error("skill name `{name}` is ambiguous; use one of these refs: {candidates:?}")]
+    AmbiguousSkillName {
+        /// Name supplied by the caller.
+        name: String,
+        /// Stable refs of every matching assigned skill.
+        candidates: Vec<String>,
+    },
+
     /// An optimistic-concurrency `if_match` did not match the resource's current
     /// version. Carries the current version so the caller can retry.
     #[error("concurrency conflict: {0}")]
@@ -150,6 +159,7 @@ impl AppError {
         match self {
             Self::NotFound(_) => "NOT_FOUND",
             Self::Invalid(_) => "INVALID",
+            Self::AmbiguousSkillName { .. } => "ambiguousSkillName",
             Self::Conflict(_) => "CONFLICT",
             Self::FileSystem(_) => "FILESYSTEM",
             Self::Store(_) => "STORE",