[SALVAGUARDA] Modo dry-run

## Qué es esta tarea

Implementar el modo `--dry-run` que muestra exactamente qué haría el remediador sin ejecutar ningún comando. Obligatorio durante desarrollo y demo. Es la segunda salvaguarda innegociable.

## Qué se debe hacer

- Añadir flag `--dry-run` (o configuración en TOML)
- Cuando está activo, el remediador:
- Genera el plan de corrección normalmente
- Valida cada comando contra la lista blanca
- Muestra en consola/informe qué haría: "EJECUTARÍA: sudo systemctl restart postgresql"
- NO ejecuta ningún comando
- El informe generado en dry-run marca claramente: "[DRY-RUN] Ningún comando fue ejecutado"
- Activado por defecto durante desarrollo

## Por qué importa

Durante el desarrollo, las pruebas y la demo, no se quiere que el agente modifique el servidor — se quiere ver qué haría. El dry-run permite validar la lógica del Modo 3 sin riesgo. En la demo final, es la forma segura de mostrar el Modo 3 sin sorpresas (sección 14.5 del documento de proyecto). Es innegociable.

## Criterio de avance

Con `--dry-run`, el agente genera un plan completo y muestra qué ejecutaría, pero no modifica nada en el servidor. Sin el flag, ejecuta normalmente. Verificado comparando el estado del servidor antes y después.