feat: Docker para CBC con acceso limitado

- Dockerfile minimal con Python 3.11
- docker-compose.yml con volumenes controlados
- .dockerignore para build eficiente
- Script de inicio start.sh
- .env.example para configuración

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

docker/Dockerfile

@@ -0,0 +1,35 @@
+# CBC OpenClaw - Imagen Docker minimal
+# Solo acceso a /app y las tools necesarias
+
+FROM python:3.11-slim
+
+# Instalar dependencias del sistema
+RUN apt-get update && apt-get install -y \
+    git \
+    curl \
+    wget \
+    build-essential \
+    && rm -rf /var/lib/apt/lists/*
+
+# Crear usuario no-root para seguridad
+RUN useradd -m -s /bin/bash cbc && \
+    mkdir -p /home/cbc && \
+    chown -R cbc:cbc /home/cbc
+
+# Definir workspace
+WORKDIR /app
+
+# Copiar solo archivos necesarios del proyecto
+COPY --chown=cbc:cbc . .
+
+# Cambiar a usuario no-root
+USER cbc
+
+# Variables de entorno para el agente
+ENV ANTHROPIC_API_KEY=""
+ENV ANTHROPIC_BASE_URL="https://api.minimax.io/anthropic"
+ENV ANTHROPIC_MODEL="MiniMax-M2.5"
+ENV HOME=/app
+
+# El agente solo puede acceder a /app y sus subdirectorios
+# No tiene acceso a Internet directo (solo a través de variables de entorno)