fix(ci): require valid published PR-Agent reviews

## Problem

PR #422 在提交 e9d279f9885f520c70001fdc3dd92571da53cd52 的 Review 中，模型返回 Fragile Build finding，但缺少顶层 review 字段，解析失败后发布空 Standalone 评论，Automated Review Coverage 仍成功。PR #426 同时复现 GitHub user identity cannot be verified，持久评审降级。固定 Action commit 仍引用可变 Docker 标签，不能固定实际执行代码。

证据：https://github.com/AgoraIO-Extensions/agent-infra/actions/runs/34196006005 。

## Scope

修复本仓库 PR-Agent Analysis 执行与发布路径、有效结果验证和 Coverage Gate，固定实际执行的上游代码或镜像。优先使用上游支持的配置与输出，不维护独立 Review 引擎，不改变模型供应商、凭证、合并权限或其他产品功能。保留 Suggestions 的 advisory 定位。

## Acceptance criteria

- [x] AC-1: 实际运行的 PR-Agent 代码或镜像使用不可变版本，不再由可变 Docker 标签决定版本。
- [x] AC-2: 模型发现的问题或明确的无问题结论能发布到对应 PR/head；解析无效、空输出、发布失败不能静默成功，持久评审身份错误不能导致空评审被接受。
- [x] AC-3: Automated Review Coverage 只在当前 run/head 的完整有效 Review 结果成功发布后通过；无效输出、遗漏或失败 chunk、旧 head、错误身份及发布失败均失败。
- [x] AC-4: 为实际故障建立回归验证，覆盖有 finding、明确无 finding、无效格式、发布失败及不完整覆盖。
- [x] AC-5: 完成仓库要求的验证，并用真实 GitHub Review 运行证明发布与失败拦截；无法完成的外部验收明确保留未完成状态。

## Validation

先复现 PR #422 的模型输出解析失败但检查成功，再验证修复。运行工作流策略、Coverage 和执行契约测试及 AGENTS.md 的完整验证命令。真实 GitHub 冒烟覆盖可识别缺陷的评审发布和无效结果的失败拦截，证据绑定明确 commit、run 和发布结果；不以 Suggestions 或 workflow 总体绿色代替。

验证证据（实现 head `ff7fb29d7da5bbfb72f222ec9734ef5298045015`）：[完整 CI](https://github.com/AgoraIO-Extensions/agent-infra/actions/runs/34208941429)、[真实 Review 与失败拦截冒烟](https://github.com/AgoraIO-Extensions/agent-infra/actions/runs/34209370047)。修复 PR #433 等待人工批准与合并，尚未在默认分支生效。

## Blocked by

None