feat(memory): quarantine and rollback operator API

**Context:** ROADMAP.md → Memory security → Quarantine and rollback

---

## Component

API or orchestration

## Describe the feature

**Operator API** to isolate suspicious memory entries (quarantine) and restore **pre-task snapshots** (rollback) for a repo namespace.

## Use case

After detecting poisoning or bad extraction, operators must stop bad memories from affecting new tasks and optionally restore a known-good state.

## Proposed solution

1. `POST /memory/quarantine` — by entry ID, pattern, or time range.
2. `POST /memory/rollback` — restore from S3 backup snapshot (requires backup draft).
3. CLI: `bgagent memory quarantine|rollback`.
4. Audit events for all operator actions.
5. Cedar-gated operator role.

## Other information

- Depends on **memory backup to S3** for rollback.
- Design context: `docs/design/MEMORY.md`, `docs/design/SECURITY.md`.

- [ ] This might be a breaking change

Commencez par ROADMAP.md, à la section « Memory security », puis lisez docs/design/MEMORY.md et docs/design/SECURITY.md. Retracez les points d’entrée existants de la Memory API, de la CLI, de la sauvegarde, de l’audit et de l’autorisation avant de décider de la portée. Le travail est considéré comme terminé lorsque les flux opérateur de mise en quarantaine et de rollback, les commandes CLI, les événements d’audit et le rôle opérateur contrôlé par Cedar sont conçus et implémentés, et que la dépendance à la sauvegarde S3 a été prise en compte.

Rédigé par le modèle d'indexation à partir du texte de l'issue.