test(base): 端到端验证工具拒绝的分支 2 与 3，探针加第二个工具

接上一轮（分支 1 已验证）。本轮用只读探针触发另外两种拒绝：

- 分支 2「工具不在当前意图白名单」：发布白名单 ["probe_alt"] 但 Agent 调 probe_echo。
  这一步能做，正是因为给探针加了第二个工具 —— governance.resolve 取的是
  「发布白名单 ∩ 代码声明的 allowed_tools」，配置**只能缩小不能放大**，所以单个工具的
  Agent 永远构造不出"有白名单但不含该工具"的场景。这是做端到端时才撞到的结构性约束，
  platform_probe.py 里已注明。

- 分支 3「缺少工具权限」：发布白名单 ["probe_echo"]，工具可用了，但 admin 角色并没有
  probe:read 这条权限，天然命中权限分支，不需要动 RBAC。

实测：两种拒绝的 stderr 分别为「工具不在当前意图白名单」与「缺少工具权限」，
运行状态均为 failed / AGENT_PERMISSION_DENIED；生效配置已恢复（终点 9 条，与起点一致）。

顺带发现分支 4 的结构性障碍（下一步处理）：Agent 层的 validate_access 会先按
AgentDefinition.allowed_roles 拦截，所以要在**工具层**触发"角色不能使用工具"，
必须让工具的角色集合比 Agent 的更窄 —— 探针目前两者的角色集合相同，触发不到。

app/service/agent/implementations/platform_probe.py

@@ -26,6 +26,11 @@ from app.service.agent.base import BaseAgent
 AGENT_TYPE = "platform_probe"
 INTENT_PROBE = "probe"
 PROBE_TOOL = "probe_echo"
+# 第二个探针工具。**存在的唯一理由**：让"工具不在白名单"这一分支可被触发。
+# `governance.resolve` 取的是「发布白名单 ∩ 代码声明的 allowed_tools」，配置**只能缩小
+# 不能放大**；所以 Agent 只有一个工具时，白名单要么为空、要么正好包含它，
+# 永远构造不出"有白名单、但不含被调用的那个工具"的场景——这是我做端到端验证时撞到的。
+PROBE_ALT_TOOL = "probe_alt"
 PROBE_PERMISSION = "probe:read"
 
 
@@ -43,6 +48,11 @@ async def probe_echo_tool(arguments: BaseModel, context: RequestContext) -> dict
     return {"echo": note, "trace_id": context.trace_id}
 
 
+async def probe_alt_tool(arguments: BaseModel, context: RequestContext) -> dict[str, Any]:
+    """备用探针工具：只为让"工具不在白名单"的分支可被构造，与 probe_echo 同样只读。"""
+    return {"alt": True, "trace_id": context.trace_id}
+
+
 class PlatformProbeAgent(BaseAgent):
     """基座探针：只用于验证工具链路的拒绝行为，不承载任何业务。"""
 
@@ -51,7 +61,7 @@ class PlatformProbeAgent(BaseAgent):
         version="1.0.0",
         allowed_roles=("admin",),
         allowed_portals=("api",),
-        allowed_tools=(PROBE_TOOL,),
+        allowed_tools=(PROBE_TOOL, PROBE_ALT_TOOL),
         supported_intents=(INTENT_PROBE,),
     )