docs(agent): bổ sung role fix-dispatcher và siết lại bộ tài liệu agent

- Thêm agent/roles/0_fix_dispatcher.md: phân tier/lane cho từng defect trước
  khi các agent khác chạy, kèm agent/commands/fix.md và hợp đồng đầu ra
  agent/output/dispatch_plan.md.
- Cập nhật system/guardrail, response_policy, security và các checklist
  ui/ux/pr_readiness cho khớp luồng mới.
- Mở rộng knowledge: i18n_rules, screen_map, theme_tokens,
  secrets_and_config; cập nhật workflow intake_to_fix và handoff_contract.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

agent/workflow/handoff_contract.md

@@ -8,6 +8,7 @@ Mọi agent kết thúc lượt bằng khối YAML này, đặt **ngay trên** p
 defect_id: UI-2026-0907-01        # UI-<YYYYMMDD>-<số thứ tự trong ngày>
 from_agent: ui-bug-triage
 next_agent: ui-visual-fixer       # xem bảng giá trị hợp lệ bên dưới
+tier: T2                          # T0 | T1 | T2 | T3 | T3-SEC — do fix-dispatcher chấm
 category: visual                  # visual | flow | i18n-a11y | security | not-ui
 severity: S2                      # S1 | S2 | S3 | S4
 confidence: high                  # low | medium | high
@@ -26,6 +27,7 @@ blocked_on: []                    # danh sách open question CHẶN bước ti
 
 | Giá trị | Nghĩa |
 |---|---|
+| `fix-dispatcher` | Escalate về hub: vượt phạm vi tier hiện tại, cần chấm lại |
 | `ui-visual-fixer` / `ux-flow-fixer` / `i18n-a11y-fixer` | Route sang specialist UI |
 | `security-defect-fixer` | Route sang specialist bảo mật (`category: security`) |
 | `fix-implementer` | Plan đã sẵn sàng để hiện thực |
@@ -50,3 +52,11 @@ blocked_on: []                    # danh sách open question CHẶN bước ti
    `next_agent: security-defect-fixer`; phần UI tách thành `defect_id` riêng, xử lý sau.
 9. `blocked_on` của role 7 có thể chứa câu hỏi **chính sách** (`needs-security-decision`).
    Đó là chờ hợp lệ — người trả lời là Cowork Team, không phải agent khác.
+10. **`tier` chỉ đi lên.** Không agent nào được hạ `tier` trong envelope nhận được. Thấy
+    việc lớn hơn tier đang mang → đặt `next_agent: fix-dispatcher`, ghi lý do vào
+    `blocked_on`, dừng. Hub là chỗ duy nhất được ghi `tier`.
+11. `tier: T0` mà `next_agent` khác `HUMAN_REVIEW` là mâu thuẫn: T0 không gọi agent nào.
+    `tier: T3-SEC` thì `security_review` **luôn** là `required`.
+12. `report_id` (nếu có) gom các `defect_id` tách ra từ **cùng một** phản ánh. Nó chỉ để
+    truy vết ngược về người báo lỗi; không dùng nó để gộp PR — một PR vẫn là một
+    `defect_id` (`guardrail.md` G8).