Chaves de provedor de IA (ai_credentials.*)

Chaves da OpenAI e da Anthropic da conta: cadastrar (cifrada, validada no provedor), listar só com os 4 últimos dígitos e remover. O valor nunca é devolvido. Precisam de TOKEN_ENC_KEY no servidor (senão credencial_ausente) e de uma migration (sem ela a escrita responde migration_pendente).

Operações: 3. Todas são POST https://app.atomiks.com.br/api/v1/<id>.

• `ai_credentials.list`: Listar chaves de provedor de IA (crm:read)
• `ai_credentials.create`: Cadastrar chave de provedor de IA (crm:write)
• `ai_credentials.delete`: Remover chave de provedor de IA (crm:write)