Proteger dados sensíveis e atualizar andamento do plano

- Caminho do compartimento pai e CIDR do SSH saem do código para
  .secrets/oci-settings.json (fora do Git), com override por DMB_*.
- Relatórios de sanidade deixam de gravar o hostname local.
- tests/test_sensitive.py falha se OCIDs, chaves, IPs públicos ou valores
  de .secrets aparecerem em arquivos versionados.
- tools/plan_progress.py gera o bloco de andamento por fase no plano.
- Plano: status reais das tarefas de F0, F3 e F6; README e docs/05 com
  GPU em sa-saopaulo-1, runtime CUDA do Rizzo e pipeline sintético.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

infra/oci/session.py

@@ -1,5 +1,7 @@
 """Sessão OCI do benchmark a partir das credenciais em .secrets/oci-credentials/."""
 import configparser
+import json
+import os
 from pathlib import Path
 
 import oci
@@ -9,6 +11,16 @@ CRED_DIR = ROOT / ".secrets" / "oci-credentials"
 REGION = "us-chicago-1"
 
 
+def settings() -> dict:
+    """Configuração local fora do Git (.secrets/oci-settings.json); variáveis DMB_* têm precedência."""
+    path = CRED_DIR.parent / "oci-settings.json"
+    data = json.loads(path.read_text()) if path.is_file() else {}
+    return {
+        "parent_compartment_path": os.environ.get("DMB_PARENT_COMPARTMENT", data.get("parent_compartment_path")),
+        "ssh_allowed_cidr": os.environ.get("DMB_SSH_CIDR", data.get("ssh_allowed_cidr")),
+    }
+
+
 def load_config(region: str = REGION, profile: str = "DEFAULT") -> dict:
     parser = configparser.ConfigParser()
     parser.read(CRED_DIR / "profile.config")