feat(memory): quarantine and rollback operator API

**Context:** ROADMAP.md → Memory security → Quarantine and rollback

---

## Component

API or orchestration

## Describe the feature

**Operator API** to isolate suspicious memory entries (quarantine) and restore **pre-task snapshots** (rollback) for a repo namespace.

## Use case

After detecting poisoning or bad extraction, operators must stop bad memories from affecting new tasks and optionally restore a known-good state.

## Proposed solution

1. `POST /memory/quarantine` — by entry ID, pattern, or time range.
2. `POST /memory/rollback` — restore from S3 backup snapshot (requires backup draft).
3. CLI: `bgagent memory quarantine|rollback`.
4. Audit events for all operator actions.
5. Cedar-gated operator role.

## Other information

- Depends on **memory backup to S3** for rollback.
- Design context: `docs/design/MEMORY.md`, `docs/design/SECURITY.md`.

- [ ] This might be a breaking change

Beginne mit ROADMAP.md unter „Memory security“, und lies anschließend docs/design/MEMORY.md und docs/design/SECURITY.md. Verfolge die bestehenden Einstiegspunkte der Memory API, CLI, des Backups, der Audit-Funktionen und der Autorisierung, bevor du den Umfang festlegst. Als erledigt gilt die Aufgabe, wenn die Operator-Abläufe für Quarantäne und Rollback, die CLI-Befehle, Audit-Ereignisse und die durch Cedar gesteuerte Operator-Rolle entworfen und implementiert sind und die Abhängigkeit vom S3-Backup berücksichtigt wurde.

Vom Indexierungsmodell aus dem Issue-Text verfasst.