chore(deps): update hugot to v0.7 and bump native deps

[laradji]

Summary

Updates the hugot dependency to v0.7 along with related transitive dependencies, and adjusts the ONNX Runtime integration to match the new API surface.

Changes

• Dependencies: bump hugot to v0.7 in go.mod / go.sum (30 module updates)
• ONNX Runtime: update internal/ort/ort.go and internal/ort/ort_test.go to align with the new hugot v0.7 API
• Embeddings: minor adjustments in internal/embed/hugot.go for compatibility
• Build: update native deps version in .github/actions/install-native-deps/action.yml and justfile

Test plan

• just build succeeds with updated native deps
• go test ./internal/ort/... passes
• go test ./internal/embed/... passes
• Verify embeddings pipeline runs end-to-end with the new hugot version

Fixes #167

[laradji]

go-sdk v1.5 → v1.6 changelog audit (per #167 AC)

Trace explicite pour le record — l'AC du ticket demandait cette section avant merge.

Breaking changes amont

Source : v1.6.0-pre.1 release notes (le tag v1.6.0 stable existe sur git mais le release object stable n'est pas encore publié — les pre-release notes sont la source de vérité documentée).

Change amont	PR	Surface	Impact deadzone
SetError preserves existing Content instead of overwriting	#864	CallToolResult.SetError	Aucun — grep -rn SetError cmd/ internal/ → 0 hit
Cross-origin protection default OFF when CrossOriginProtection: nil	#906	StreamableHTTPOptions (HTTP transport)	Aucun — deadzone est stdio-only, pas HTTP. grep StreamableHTTPOptions → 0 hit
disablecrossoriginprotection env var renamed to enableoriginverification	#906	env var pour HTTP transport	Aucun — 0 hit
jsonescaping option removed	#893	option d'encodage	Aucun — 0 hit

Vérification empirique

$ grep -rn "SetError\|StreamableHTTPOptions\|jsonescaping\|disablecrossoriginprotection\|CrossOriginProtection" cmd/ internal/
# (aucun match)

Conclusion

Tous les breaking changes du minor v1.6 ciblent le transport HTTP ou des APIs non utilisées par deadzone. Le serveur MCP de deadzone parle stdio (cmd/deadzone/server.go), out of scope du delta v1.6.

→ cmd/deadzone/server.go peut rester intact, ce qui correspond à ce que la PR fait.

Surface d'attention pour le futur

• Si deadzone passe un jour à un transport HTTP/SSE pour le MCP server (e.g. MCP-over-network), le changement de default sur CrossOriginProtection deviendra pertinent — re-auditer à ce moment-là.
• Le nouveau ClientCredentialsHandler (OAuth client credentials grant) ouvre la porte à un MCP server authentifié si on en a besoin un jour. Additif, pas obligatoire.

Nouvelles features non utilisées (additives, no break)

• ClientCredentialsHandler for OAuth — additive
• application_type inference for DCR — additive
• HTTP Header Standardization (method/name in HTTP headers) — additive
• DNS rebinding + cross-origin protection added to SSE transport — additive
• Race condition fix in ServerSession.startKeepalive — bug fix, no API change