feat: wire hybrid provider into CLI

docs/CHATGPT_HANDOFF.md

@@ -90,6 +90,11 @@ Rootserver:
   `JAVIS_DATA_DIR\javis.toml` geladen; Umgebungsvariablen können sie sicher
   überschreiben. Die Aktivierungsvorlage enthält `free_only = true` und die
   lokale Billing-Bestätigung, aber niemals einen API-Key.
+- `javis configure gemini` verlangt zwei ausdrückliche Bestätigungen und lässt
+  Gemini bei leerer oder negativer Antwort deaktiviert.
+- Der echte CLI-Chat verwendet nun `hybrid/auto`; der Key wird erst vor einem
+  zulässigen Cloudaufruf gelesen. `/provider`, `/privacy` und `/status` zeigen
+  ausschließlich bereinigte Modi, Entscheidungen und Zähler.
 
 ## Aktuelle Architektur
 
@@ -143,6 +148,9 @@ Rootserver:
   Cloudclient, `ask` verlangt Freigabe, 429/Netzwerk/Keyfehler fallen lokal zurück.
 - Lokalen TOML-Loader und sicheren Erzeuger ergänzt; vorhandene Konfigurationen
   werden nicht ungefragt überschrieben und fehlerhafte TOML wird abgelehnt.
+- Hybridprovider in die CLI verdrahtet, sicheren Aktivierungsdialog und
+  bereinigte Provider-/Datenschutz-/Statusbefehle ergänzt.
+- Lesender Ollama-Status prüft nur Loopback-Erreichbarkeit und Modellliste.
 
 ## Aktuelle Tests
 
@@ -157,7 +165,8 @@ Letzter bestätigter Projektstand:
 - uv-Lock und `uv sync --dev`: bestanden
 - Python in `.venv`: 3.12.13
 - Ruff in `.venv`: 0.16.0
-- Unit-Tests: 55 bestanden; zusätzlich 4 lokale Konfigurationstests
+- Unit-Tests: 59 bestanden; CLI-Befehle, doppelte Bestätigung, verzögertes
+  Key-Laden und Ollama-Status sind abgedeckt
 - Ruff Lint: bestanden
 - Ruff Formatprüfung: bestanden
 
@@ -243,9 +252,8 @@ Abnahmestatus:
 
 Auf dem bestehenden Feature-Branch als nächstes einzelnes Arbeitspaket:
 
-1. sichere Aktivierungsbestätigung als CLI-Einrichtungsschritt ergänzen
-2. Hybridrouter in die CLI verdrahten und `/provider`, `/privacy`, `/status`
-   mit standardmäßig abgelehnter `ask`-Freigabe implementieren
+1. sicheres `scripts/start-javis.ps1` ohne Systemänderungen ergänzen
+2. Start- und Einrichtungsablauf kompakt dokumentieren und automatisiert prüfen
 3. noch keine echte Cloudanfrage ausführen und noch nicht nach `main` mergen
 
 Keinen API-Key in Chat, Git, Obsidian, Logs oder Dokumentation übernehmen.