Kubemend：只会开 GitOps PR 的 K8s 修复 Agent

Kubemend 用「只读诊断 + 独立验证门禁 + 仅开 GitOps draft PR」把 K8s 修复 Agent 钉在 Git 变更流上，从不 kubectl apply。