feat(speaker-id): Gating als bewusster Schalter — Default AUS (fail-open)

Stefans Repro "nichts geht mehr" kam NICHT von den Marker/Guard-Aenderungen,
sondern von der Speaker-ID: die Bridge-Logs zeigten fast durchgehend
"stt_endpoint mit leerem Text — ignoriert (reason=speaker_mismatch)" — ein aus
einem kaputten Enroll (AAC-als-PCM) entstandener Muell-Fingerprint hat Stefans
EIGENE Stimme abgelehnt und damit die komplette STT lahmgelegt.

Fix: Speaker-ID-Gating ist jetzt ein expliziter Schalter, Default AUS. Bei aus
laeuft die Pruefung GAR NICHT (fail-open, alle Stimmen durch) — ein schlechter
Enroll kann nie wieder alles abwuergen. Damit ist Stefans Problem schon durch den
Voxtral-Rebuild geloest (kein Loeschen noetig, der Check greift einfach nicht).

- voxtral + whisper bridge: SPEAKER_ID_ENABLED (Default False, ENV VOICE_ID_ENABLED),
  _check_speaker faellt bei aus sofort fail-open zurueck; config-Broadcast
  voiceIdEnabled setzt es zur Laufzeit.
- diagnostic: Schalter "Nur meine Stimme" in der Voice-ID-Sektion (Default aus,
  Hinweis: erst an wenn enrollt), broadcastet + persistiert voiceIdEnabled.

Reihenfolge lt. Stefan: erst Konversation sauber, dann Multi-Person/nur-ich.

Deploy: docker compose up -d --build voxtral-bridge; aria-diagnostic neu starten.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

xtts/voxtral/bridge.py

@@ -74,6 +74,18 @@ STREAM_VOICE_RMS_MAX = 0.020
 # (Voxtral halluziniert aus Fast-Nichts sonst einen Fuellsatz). 2 ≈ 400ms.
 STREAM_MIN_VOICED_FRAMES = int(os.getenv("STREAM_MIN_VOICED_FRAMES", "2"))
 
+# Speaker-ID Gating global an/aus. DEFAULT AUS (fail-open) — die "nur meine Stimme"-
+# Pruefung ist ein BEWUSSTER Schalter, kein Automatismus: ein einziger schlechter
+# Enroll darf nie die ganze STT lahmlegen (genau das ist passiert). Wird per config-
+# Broadcast (voiceIdEnabled, aus dem Diagnostic) zur Laufzeit gesetzt. Kann per ENV
+# vorbelegt werden.
+SPEAKER_ID_ENABLED = os.getenv("VOICE_ID_ENABLED", "false").lower() in ("1", "true", "yes")
+
+
+def _set_speaker_id_enabled(val: bool) -> None:
+    global SPEAKER_ID_ENABLED
+    SPEAKER_ID_ENABLED = bool(val)
+
 
 def pcm_s16le_to_float32(data: bytes) -> np.ndarray:
     if not data:
@@ -282,6 +294,10 @@ class SessionManager:
         """Einmalig: erste ~1.5s → Embedding → Vergleich mit Fingerprint.
         Ohne Fingerprint fail-open (match=True). Bei Mismatch: Session beenden."""
         sess.speaker_checked = True
+        # Schalter aus (Default) → gar keine Pruefung, alles durchlassen.
+        if not SPEAKER_ID_ENABLED:
+            sess.speaker_match = True
+            return
         head = bytes(sess.pcm_buffer[: STREAM_SPEAKER_CHECK_MS * 32])
         if len(head) < speaker_id.MIN_SAMPLE_BYTES:
             sess.speaker_match = True
@@ -535,6 +551,10 @@ async def run_loop(sessions: SessionManager) -> None:
                                     logger.info("[speaker-id] threshold gesetzt: %.2f", t)
                             except (TypeError, ValueError):
                                 pass
+                        if "voiceIdEnabled" in payload:
+                            _set_speaker_id_enabled(payload.get("voiceIdEnabled"))
+                            logger.info("[speaker-id] Gating %s (voiceIdEnabled)",
+                                        "AN" if SPEAKER_ID_ENABLED else "AUS")
         except Exception as e:
             logger.warning("RVS-Verbindung verloren: %s — retry in %ds", e, retry_s)
             if use_tls and RVS_TLS_FALLBACK and not tls_fallback_tried: