deploy: task image принимает BUILD_ID под роль app_image

- Dockerfile.deploy и AGENTS.md описывают локальную сборку образа + docker save/load

Dockerfile.deploy

@@ -1,5 +1,8 @@
 # Упаковка готового статического бинаря в минимальный образ — деплой на umbar
-# (см. ../umbar/playbook-trackers.yml). Бинарь собирается снаружи:
+# (см. ../umbar/playbook-trackers.yml). Образ собирается целиком локально на
+# control-хосте через `task image` (роль app_image в umbar) и едет на сервер
+# через docker save/load; docker build на сервере не выполняется. Бинарь
+# собирается снаружи:
 #   CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -o trackers .   (task build)
 # distroless/static несёт CA-сертификаты (HTTPS к источникам списков трекеров).
 # Пользователь задаётся в compose (user: "1000:1000").
@@ -7,7 +10,7 @@
 # Тома (см. compose): /config (ro, рендерится плейбуком) + /cache (пишет сам).
 #
 # Канонический Dockerfile (многоступенчатая сборка из исходников) живёт рядом и
-# используется CI (Yandex Registry) — этот файл нужен только серверной сборке.
+# используется CI (Yandex Registry) — отдельный путь для реестра.
 FROM gcr.io/distroless/static-debian12
 
 COPY trackers /usr/local/bin/trackers