feat: Abschreiben im Cluster mit Whisper-Image und Voice-CronJob (T7 L3 Task 13)

ApiCore-Whisper: transcribe.py liest das Manifest im RAM-Arbeitsordner,
dekodiert mit festem Demuxer je Endung, misst die Länge vor dem
Abschreiben (TOO_LONG > 240 s, DECODE_FAILED bei Länge 0), sperrt das
Netz vor dem Modell-Laden und schreibt nur Zähler auf stdout. Image:
python:3.12-slim per Digest, Nutzer 1000, alle Pakete mit Hash
(faster-whisper 1.2.1, av 18.1.0 wegen Inkompatibilität mit av 19),
Modell faster-whisper-small auf fester Revision mit SHA-256 je Datei.
CI-Workflow nur bei Änderungen unter ApiCore-Whisper/, Actions per SHA.

deploy/k8s/components/voice: CronJob alle 2 Minuten mit fetch, whisper,
ingest (gleiche UID, getrennte /tmp-Volumes, damit der Decoder dem
Container mit den Secrets nichts unterschieben kann; whisper ohne
Secrets und Umgebungsvariablen außer WHISPER_CPU_THREADS), Overlay mit
Platzhalter-Digest, ConfigMap-Werte für Sprache, Policy-Tests (55).
Die Anbindung des Anthropic-Schlüssels bleibt offen (Ruling 9).

Refs #27

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

deploy/k8s/components/voice/kustomization.yaml

@@ -0,0 +1,11 @@
+# Sprachnotizen (Spec T7 11.1 und 11.3): der CronJob, der Ton im Cluster
+# abschreibt. Rollout: nach backend-roles (gleiche Backend-Rollen, gleiches
+# Secret) und erst, wenn VOICE_ENCRYPTION_KEY in apicore-backend-secret steht.
+#
+# Zurueckgestellt (Controller-Entscheid 9): patch-worker-voice.yaml mit
+# ANTHROPIC_API_KEY (secretKeyRef apicore-anthropic, optional) im Worker. Es
+# wird erst angelegt, wenn die Claude-Auswertung freigegeben ist.
+apiVersion: kustomize.config.k8s.io/v1alpha1
+kind: Component
+resources:
+  - cronjob-voice-transcribe.yaml