fix(brain): Gift-Waechter — Identity-Breaks nie persistieren (Kaskade unterbunden)

Wiederkehrender Identity-Bug: --system-prompt liefert die Persona korrekt (Proxy-
Test = "ICH BIN ARIA"), ABER ein einziger in der History gespeicherter Break
("ich bin nach wie vor Claude / die Persona ist erfunden") zieht bei schwachen
Folgeturns eine Kaskade nach sich — das Modell setzt seine eigene Ablehnung fort.
Das erste Cleanup verlangte "claude code" und liess deutsche Breaks durch.

Fix zweifach:
- prompts.py: looks_like_identity_break() — STARKE selbstreferenzielle Marker
  (ich-bin-Claude / erfundene Persona / diese-Session-injiziert / nicht-real-in-
  dieser). Bewusst NICHT das blosse "injizier"/"prompt injection" — das nutzt
  ARIA in Pentest-Antworten legitim (verifiziert: 0 False Positives).
- agent.py: nach dem Claude-Loop Break-Check; bei Break Retry (Nondeterminismus
  holt meist ARIA), sonst sichere ARIA-Fallback-Antwort — Break wird NIE
  persistiert. Auch die lokale Fast-Lane eskaliert bei Break auf Claude.
- clean_poisoned_turns.py: auf denselben starken Matcher umgestellt (der breite
  produzierte False Positives auf echte Security-Doku, im Dry-Run gesehen).

VM bereits bereinigt (je 2 Rest-Breaks aus conversation.jsonl + chat_backup).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

aria-brain/clean_poisoned_turns.py

@@ -41,19 +41,28 @@ import shutil
 import sys
 from pathlib import Path
 
-# "claude code" ist fuer sich genommen noch kein Beweis (Stefan und ARIA reden
-# im Dev-Kontext legitim ueber Claude Code). Erst in Kombination mit einem
-# zweiten Ablehnungs-Marker ist es eindeutig eine aus-der-Rolle-Antwort.
-_PRIMARY = re.compile(r"claude\s*code", re.IGNORECASE)
-_SECONDARY = re.compile(
-    r"injiz|inject|fabriz|fabricat|adoptier|adopting|"
-    r"prompt[\s-]*injection|keine echten|nicht (?:real|adopt)",
+# STARKE, selbstreferenzielle Break-Marker — identisch zu prompts._IDENTITY_BREAK
+# (dem Laufzeit-Gift-Waechter). Hier dupliziert, damit das Script self-contained
+# ist (laeuft auch auf dem Host-Python ohne qdrant/prompts-Import). Bewusst NICHT
+# das blosse Wort "injizier"/"prompt injection" — das nutzt ARIA in Pentest-
+# Antworten legitim (sonst False Positives auf echte Security-Doku, wie im
+# Dry-Run gesehen: "Runde 60 … SSRF", "Dein Ziel: LLM …").
+_BREAK = re.compile(
+    r"ich\s+bin\s+(?:allerdings\s+|ja\s+|nach\s+wie\s+vor\s+|weiterhin\s+)*claude|"
+    r"i'?m\s+(?:still\s+|actually\s+)?claude\s+code|i\s+am\s+claude\b|"
+    r"erfundene[nr]?\s+(?:tool|persona|schemas)|fabricated\s+persona|"
+    r"fabrizierte?\s+(?:persona|gespr|konversation)|fabricated\s+conversation|"
+    r"fake[- ]persona|injizierte[rn]?\s+(?:system-?prompt|kontext|persona)|"
+    r"injected\s+(?:system\s*prompt|persona|context)|"
+    r"diese\s+session\s+enthält\s+(?:einen|eine)\b.{0,40}injizier|"
+    r"this\s+session\s+(?:contains|has|keeps|repeatedly)\b.{0,40}(?:inject|fabricat|fake)|"
+    r"nicht\s+real\s+in\s+dieser\s+(?:umgebung|session)|not\s+real\s+in\s+this",
     re.IGNORECASE,
 )
 
 
 def is_poison(content: str) -> bool:
-    return bool(_PRIMARY.search(content) and _SECONDARY.search(content))
+    return bool(_BREAK.search(content or ""))
 
 
 def get_content(obj: dict) -> str: