Rebuild profile router as secure recoverable v2

docs/ARCHITECTURE.md

@@ -11,7 +11,7 @@ in diesem Repository oder im Modellmanifest beschrieben sind.
 
 | Komponente | Port | Ausführung | Aufgabe |
 |---|---:|---|---|
-| AI Profile Router | 8081 | systemd, unprivilegiert empfohlen | zentrale Client-API und Orchestrierung |
+| AI Profile Router | 8081 | systemd, gehärtet | zentrale Client-API und Orchestrierung |
 | llama.cpp | 8080 | systemd | Textmodell, Tool Calling und MCP |
 | Whisper | 8084, nur localhost | systemd | Speech-to-Text |
 | XTTS | 8085, nur localhost | systemd | Text-to-Speech |
@@ -29,11 +29,20 @@ in diesem Repository oder im Modellmanifest beschrieben sind.
 4. Der Router wartet auf Modellname und erwartete Kontextgröße.
 5. Erst dann wird die Anfrage an Port 8080 weitergeleitet.
 
+Profilwahl und Weiterleitung bilden dabei eine atomare Modell-Lease. Ein
+zweiter Request kann das Profil nicht mehr zwischen Auswahl und Inferenz
+wechseln. Laufende Requests werden vor einem GPU-Hotswap vollständig beendet;
+bei Überschreiten des Drain-Timeouts wird der Wechsel abgebrochen, nicht der
+Chat.
+
 ## Profilprinzip
 
 Die Profile sind vollständige systemd-Overrides. Ein Profilwechsel kopiert die
 gewählte Datei atomar auf `override.conf`, lädt systemd neu und startet genau
 einen llama.cpp-Dienst neu. Es gibt niemals mehrere Textmodelle gleichzeitig.
+Das unabhängige Register `/etc/mike-ai/router-profiles.json` definiert Kontext
+und erwarteten Modellalias. Readiness gilt nur, wenn beides exakt passt; eine
+abweichende oder fehlende Registry verhindert den Start.
 
 ## GPU-Hotswap
 
@@ -47,6 +56,23 @@ Vision und Bildgenerierung teilen sich die RTX mit dem Textmodell. Der Router:
 6. stellt das ursprüngliche Textprofil wieder her,
 7. prüft Modell und Kontext vor der Freigabe.
 
+Der zuletzt stabile Zustand und temporäre Worker-PIDs werden atomar unter
+`/var/lib/mike-ai-profile-router/state.json` festgehalten. Beim Routerstart
+werden ausschließlich dort erfasste Prozesse nach zusätzlicher
+Kommandozeilenprüfung beendet und das letzte Profil wiederhergestellt.
+
+## Vertrauensgrenzen
+
+- Port 8081 verlangt einen eigenen API-Key; nur `/health` und `/ready` sind
+  absichtlich anonym und enthalten keine privaten Daten.
+- Der Client-Key wird vor dem lokalen Upstream entfernt.
+- Bild-Uploads sind begrenzt. Remote-Bild-URLs sind standardmäßig aus, damit
+  der Vision-Pfad nicht als Zugriff auf Intranet oder Metadatenendpunkte dient.
+- Maximal 16 Requests werden gleichzeitig bearbeitet; weitere erhalten 429.
+- Der Dienst benötigt derzeit wegen systemd-Profilwechsel und GPU-Hotswap noch
+  Root-Rechte. Die systemd-Sandbox begrenzt diese, ersetzt aber keine künftige
+  Aufteilung in unprivilegierten Proxy und eng begrenzten Root-Helper.
+
 ## Verzeichnislayout auf dem Zielhost
 
 ```text