feat(spec): add AgentRole, AgentSkill, RoleSkillBinding (ADR-0017/0018)

spec/Spec/System.lean

@@ -13,6 +13,7 @@ import Spec.System.AgentSurface
 import Spec.System.Permission
 import Spec.System.PermissionGrant
 import Spec.System.Audit
+import Spec.System.AgentRole
 /-!
 # System —— Hub 平台层契约
 
@@ -27,6 +28,7 @@ import Spec.System.Audit
 - `Organization` —— SaaS 租户(ADR-0020);project/team 单归属,TEAM grant 不跨 org;
   connection secret 信封与 fail-closed resolver(ADR-0024);
   owner/admin/member(`OrganizationRole`)及其管理规则(最后所有者保护)。
+- `AgentRole` —— org-scoped agent 角色配置 + 技能(ADR-0017/0018)。
 - `ProjectWorkspace` —— org 后台 project explorer:folder 是透明组织节点,project 仍是权限边界
   (ADR-0021)。
 - `Capacity` —— platform ceiling 与 org policy 的分层限制、持久 admission request 状态和