[R6][security] validate-bundle 增加 files_changed 路径禁用规则

[yaohui325]

当前 files_changed 里的路径没有任何禁用检查。在 workspace-write 下，Codex 声明修改 .git/、node_modules/、.codex-bridge/ 里的文件不会被拦截。

目标：在 scripts/validate-bundle.sh 加一条 jq 检查，命中禁用前缀即 fail。

jq -e '[.files_changed[]?[]?] | all(
  (startswith(".git/") | not) and
  (startswith("node_modules/") | not) and
  (startswith(".codex-bridge/") | not)
)' "$BUNDLE/response.json"

对应 README v1.3 Roadmap R6。适合新贡献者：改动集中在单个脚本，有明确验收条件。