等拍板 · [1991][PR6c] 为 Pi tool_result 增加出站脱敏与大输出截断

父 Issue：#1991
前置：PR1 runtime manifest；建议在 PR4 后推进

## 目标
在 Pi `tool_result` 出站到模型前增加保守的凭证脱敏和大输出截断，补齐当前只有读侧路径拦截的防线。

## 范围
- 处理 token、secret、API key 等已定义模式。
- 对超大工具输出做有标记的截断。
- 保留错误摘要和可诊断上下文。
- 不改变工具实际执行结果，只改变模型收到的展示副本。

## 验收
- [ ] 凭证样本被遮蔽。
- [ ] 超大输出按上限截断且带明确标记。
- [ ] 普通代码输出不被误伤。
- [ ] hook 不可用时会话可正常运行。
- [ ] 不泄露原始敏感输出到日志或诊断面。

独立 session、独立 worktree；PR 描述使用 `Refs #1991` 并关联本 Issue。