feat(memory): quarantine and rollback operator API

**Context:** ROADMAP.md → Memory security → Quarantine and rollback

---

## Component

API or orchestration

## Describe the feature

**Operator API** to isolate suspicious memory entries (quarantine) and restore **pre-task snapshots** (rollback) for a repo namespace.

## Use case

After detecting poisoning or bad extraction, operators must stop bad memories from affecting new tasks and optionally restore a known-good state.

## Proposed solution

1. `POST /memory/quarantine` — by entry ID, pattern, or time range.
2. `POST /memory/rollback` — restore from S3 backup snapshot (requires backup draft).
3. CLI: `bgagent memory quarantine|rollback`.
4. Audit events for all operator actions.
5. Cedar-gated operator role.

## Other information

- Depends on **memory backup to S3** for rollback.
- Design context: `docs/design/MEMORY.md`, `docs/design/SECURITY.md`.

- [ ] This might be a breaking change

Inizia da ROADMAP.md, nella sezione “Memory security”, poi leggi docs/design/MEMORY.md e docs/design/SECURITY.md. Traccia i punti di ingresso esistenti della Memory API, della CLI, del backup, dell’audit e dell’autorizzazione prima di decidere l’ambito. Il lavoro è completato quando i flussi operativi di quarantena e rollback, i comandi CLI, gli eventi di audit e il ruolo operatore con controllo Cedar sono progettati e implementati, e la dipendenza dal backup S3 è stata affrontata.

Scritto dal modello di indicizzazione a partire dal testo della issue.