docs: add group-rules pointer (CLAUDE.md) and repo-specific AGENTS.md

Field test F-011 found four of five components carried no pointer file, so a
session landing here had no path to the group rules at all. CLAUDE.md is the
one-line pointer the check looks for; AGENTS.md links the canonical rules in the
management repo (with the Gitea mirror URL for readers outside the lab) and
otherwise carries only what is specific and easy to get wrong here.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

AGENTS.md

@@ -0,0 +1,28 @@
+# AGENTS.md — threadnet-operating
+
+> **Die Gruppenregeln sind kanonisch im `management`-Repo:**
+> [`AGENTS.md`](https://git.lab/axion1337.chat/management/-/blob/main/AGENTS.md)
+> — von außerhalb des Labs über den Gitea-Mirror lesbar:
+> `https://rohana.axion1337.de/sorb/management`. Dort stehen Repo-Topologie und
+> Mirror-Regeln, das Kanban-Framework (Status-Labels, WIP-Limit 2, ADR-Pflicht),
+> Deploy-Übergabe und AAR-Verfahren, Secrets-Handhabung und die
+> Karpathy-Leitlinien. Sie gelten für **jede** Session in diesem Repo.
+> Hier steht nur, was zusätzlich für dieses Repository gilt.
+
+## Was dieses Repo ist
+
+Monitoring-Stack auf **CFGMON**: Prometheus, Loki, Grafana, Alloy, Alertmanager und der
+CVE-Exporter — als Compose, **nicht** von Flux verwaltet. Deploy manuell auf dem Host
+(`/opt/threadnet-operating/monitoring`).
+
+## Was hier besonders zählt
+
+- **Alarmregeln** liegen in `monitoring/prometheus/alerts.yml`; die Zustellung läuft über
+  `alertmanager/matrix-alerts.py` in den Matrix-Security-Raum. Eine Regel, die nie feuern
+  kann, ist schlimmer als keine — **fehlende Zeitreihen erzeugen Stille, keinen Alarm**
+  (deshalb die `or`-Fallbacks in `axion-backup`).
+- **Config-Änderungen kommen nicht automatisch an.** Prometheus und Alertmanager mounten seit
+  2026-08-15 ihr Config-**Verzeichnis**; bei den übrigen Diensten (loki, alloy, die Skripte)
+  hängt der Einzeldatei-Mount weiter am Inode und braucht `--force-recreate` nach `git pull`.
+  Details und Prüfbefehl in `monitoring/README.md`.
+- Ob eine Änderung wirklich greift, sieht man **nur im Container**, nie auf der Platte.