[P2][security][lab-op] pi3b com (ALL) NOPASSWD: ALL — viola o contrato narrow-sudoers do lab-op #959

Auditoria READ-ONLY (Claude) + probe real sudo -n -l (2026-06-18). Risco de segurança.

Na pi3b, sudo -n -l retorna (ALL) NOPASSWD: ALL — sudo passwordless TOTAL. Viola a doutrina narrow-sudoers do lab-op: t14/mini-bt/latitude listam só os labop-* específicos (least-privilege); a pi3b libera qualquer comando como root sem senha.

Impacto: superfície de privilégio muito maior que os outros nós; não é necessário pro Maestro (os capos precisam só dos labop-*-ensure.sh + lab-completao-host-smoke.sh --privileged).

Fix: trocar o NOPASSWD: ALL pelo sudoers narrow padrão dos outros nós (whitelist só os scripts labop). Modelo: LABOP_COMPLETÃO_SUDOERS*.md (gitignored).