ci: diff mutants only on request; the review pipeline proves them on the material before reviewing

Validate ran the three "Мутанты по диффу" shards on every push of every
branch: 48 of 56 job-hours on 08–09.09, most of them cancelled by the
next push. Mutants now run when asked — pull requests, the nightly
schedule, a push carrying a `Release:` trailer, or a dispatch with
`mutants=true` (classify-changes.mjs → `mutants_requested`); an ordinary
push runs the light checks only.

The proof moves to where it is consumed. process.yml gets a gate after
the #499 reuse step: on the code stage it looks for a dispatch Validate
run on the exact material SHA whose mutant jobs executed and passed
(scripts/validate-gate.mjs); none → it dispatches one and waits; red or
missing → the task goes back S7→S6 with the run link and the review
cycle is not spent. Spec stage and the reuse fast-path skip the gate
(`proceed=true`); all later steps branch on `proceed` in place of the
old conflict conjunct only. merge-candidate.mjs dispatches Validate on
the pushed candidate and waits for that dispatch run.

PROCESS.md/AGENTS.md: review does not start on red code; one handoff —
one push.

Mutants: mutants-run-on-every-push, review-starts-on-red-validate,
review-trusts-push-run-without-mutants, merge-waits-push-run-without-mutants.

Issue: #510
User-Visible: no

PROCESS.md

@@ -897,6 +897,23 @@ S7-code-review → код-ревью → слияние в dev → S8-merged л
 4. многострочный текст внутри `run:` — только через heredoc: строка с нулевым
    отступом обрывает блок YAML, и скрипт обрезается без ошибки парсера.
 
+**Ревью не начинается на красном коде** (#510). После фиксации материала конвейер
+запускает Validate с мутантами по диффу на этом SHA (`scripts/validate-gate.mjs`:
+`workflow_dispatch validate.yml -f mutants=true`) и ждёт его до 45 минут. Красный или
+пропавший прогон возвращает задачу в `S6-in-progress` с комментарием и ссылкой —
+код никто не читал, цикл ревью не израсходован. Мутанты по диффу вообще бегут
+только по запросу: на кандидате ревью, кандидате слияния (#492), кандидате беты,
+в ночном прогоне и на PR; обычный push обходится дешёвыми гейтами (~3 минуты).
+За 08–09.09 мутанты на каждом промежуточном пуше стоили 48 из 56 часов
+job-минут Validate и в основном отменялись следующим пушем.
+
+**Один хендофф — один пуш.** Перед пушем — локальный `node scripts/process-gate.mjs
+--issues` при доступном `gh` (хук без `gh` статус issue не проверяет и молчит);
+после `S7-code-review` в ветку не пушить, пока не пришёл вердикт или возврат: пуш
+поверх идущего ревью отменяет его и стоит 10–20 минут раннера, а после фиксации
+материала — ещё и слияние (#312). `S7` ставится один раз на заход, не после
+каждого фикса CI: красный Validate конвейер вернёт сам.
+
 **Автор обязан дождаться вердикта, а не заканчивать сессию.** Ревью идёт от десяти
 минут до сорока пяти. Отчёт «передал на ревью» останавливает конвейер там, где он
 мог идти сам: вердикт придёт, а подхватить его будет некому. У агента нет часов —
@@ -945,8 +962,9 @@ S7-code-review → код-ревью → слияние в dev → S8-merged л
 - если `dev` не двигался — push с `--force-with-lease` на текущую вершину;
 - если двигался — ребейз (конфликт — `S6-in-progress`, как раньше), сравнение
   patch-id проверенного и получившегося диффа (различие — `S7-code-review`: вердикт
-  к другому диффу не применим, §7.2), публикация кандидата в ветку задачи, ожидание
-  зелёного Validate **на этом SHA** и только затем push в `dev` с lease на ту
+  к другому диффу не применим, §7.2), публикация кандидата в ветку задачи, запуск
+  Validate с мутантами на ней (#510) и ожидание зелёного dispatch-прогона **на этом
+  SHA** — push-прогон мутантов не несёт — и только затем push в `dev` с lease на ту
   вершину, поверх которой кандидат собран. Отклонённый lease — `dev` двинулся снова
   — новая попытка; после третьей — `S6-in-progress` с комментарием;
 - красный Validate на кандидате или прогон, не появившийся за три минуты, —