fix: corrections critiques sécurité et robustesse

Sécurité :
- CORS restreint aux origines connues (plus de *)
- Clés Flask sécurisées (secrets.token_hex)
- .env.local vérifié non commité

Robustesse :
- Queues replay bornées (max 500 actions, cleanup TTL 1h)
- Vol cross-session supprimé dans /replay/next
- Backoff exponentiel polling agent (1s → 30s max)
- Nettoyage sessions mémoire TTL 24h
- Fix fuite file descriptors upload images
- Fix exceptions silencieuses compression images

Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com>

agent_chat/app.py

@@ -77,7 +77,8 @@ logging.basicConfig(level=logging.INFO)
 logger = logging.getLogger(__name__)
 
 app = Flask(__name__)
-app.config['SECRET_KEY'] = 'rpa-vision-v3-secret'
+import secrets as _secrets
+app.config['SECRET_KEY'] = os.environ.get('SECRET_KEY', _secrets.token_hex(32))
 socketio = SocketIO(app, cors_allowed_origins="*")
 
 # Global state