fix(runtime): 上游错误体统一走 trace.UpstreamError，正文不进 error

M41 的「LLM / embedding / 视觉 上游错误体」一族（M38 #5 #6 #7 #8 #9 #14）：
非 2xx 时把响应体截断后拼进 error，而 error 会被 chat run / loop step /
retrieve_fallback 打日志，等于把她的提问、记忆正文、要念的台词写进日志。

- model：openai/anthropic 两处 upstreamError 收口到 upstream.go 的
  providerUpstreamError；anthropic 流内 error 事件的 evt.Error.Message
  （原本无上限）整段丢弃，只保留令牌形状的 type
- embedding：readErrorBody 删除，改走 helper（input 就是她的记忆正文）
- vision：错误路径不再沿用取图的 50 MiB 上限，改为 4 KiB 有界读且不拼原文
- voice：classifyDashscopeStatus 只解 code/request_id，正文只留在内存里做
  分类判据；错误体读取同样改为 4 KiB 有界
- 测试：五个上游各一条「日志/error 里搜不到哨兵正文」用例，且能变异打红

internal/runtime/model/openai_test.go

@@ -12,6 +12,7 @@ import (
 	"testing"
 
 	"git.yeij.top/AskaEth/Cyrene_v2/internal/config"
+	"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/trace"
 )
 
 const okCompletion = `{
@@ -244,6 +245,39 @@ func TestOpenAIChat_Chat_UpstreamError(t *testing.T) {
 	}
 }
 
+// TestOpenAIChat_Chat_UpstreamErrorDropsPromptEcho 覆盖 M41 的一家 provider：
+// 4xx 的错误体里回显了她的提问，**提问不能出现在 error 文本里**。
+//
+// 为什么断言的是「文本里搜不到」而不是「error 非空」：旧实现把响应体截断
+// 512 字节后拼进 error，error 又被 chat run / loop step 打日志 —— 截断只是把
+// 「整段泄漏」变成「前 512 字节泄漏」。只有「搜不到原文」这个断言能把实现
+// 变异回旧写法时打红。
+func TestOpenAIChat_Chat_UpstreamErrorDropsPromptEcho(t *testing.T) {
+	t.Parallel()
+	const echoed = "SENTINEL-OPENAI-PROMPT-9f3a"
+	body := `{"error":{"code":"invalid_request_error","type":"invalid_request_error",` +
+		`"param":"messages","message":"Invalid value for 'messages[0].content': '` + echoed + `'"}}`
+	srv := newCompletionServer(t, http.StatusUnprocessableEntity, "application/json", body, nil)
+	ad := NewOpenAIChat(config.LLMConfig{BaseURL: srv.URL, Model: "m"})
+
+	_, err := ad.Chat(context.Background(), Request{Messages: []Message{TextMessage(RoleUser, echoed)}}, Options{})
+	if err == nil {
+		t.Fatal("want error, got nil")
+	}
+	if !errors.Is(err, ErrUpstream) || !errors.Is(err, trace.ErrUpstream) {
+		t.Fatalf("err = %v, want both ErrUpstream and trace.ErrUpstream", err)
+	}
+	if strings.Contains(err.Error(), echoed) {
+		t.Errorf("error text echoes the prompt: %v", err)
+	}
+	if !strings.Contains(err.Error(), "422") {
+		t.Errorf("err = %v, want the status kept for triage", err)
+	}
+	if !strings.Contains(err.Error(), "invalid_request_error") {
+		t.Errorf("err = %v, want the error.code kept for triage", err)
+	}
+}
+
 func TestOpenAIChat_Chat_NoBaseURL(t *testing.T) {
 	t.Parallel()
 	ad := NewOpenAIChat(config.LLMConfig{})