ci(ai): use python:3.12-slim (alpine lacks bash, breaks default run shell)

.gitea/workflows/security.yml

@@ -1,8 +1,9 @@
 # Feature B (+C) — Security-Scan (HART blockierend) + KI-Klartext-Erklärung.
 # Pilot: läuft auf Push zum Branch ci-ai/pilot (Validierung) und auf PRs.
-# Schlankes alpine-Image + Memory-Cap (Pi-Runner). ⚠ ARM64-Binaries!
-# Gitleaks (Secrets) + Trivy config (IaC/Misconfig) — ohne schweren Vuln-DB-Scan.
-# Funde -> Check schlägt hart fehl; danach erklärt die KI sie (skippt ohne Key).
+# python:3.12-slim (Debian: hat bash -> PIPESTATUS ok) + Memory-Cap (Pi-Runner).
+# ⚠ ARM64-Binaries! Gitleaks (Secrets) + Trivy config (IaC/Misconfig) — ohne
+# schweren Vuln-DB-Scan. Funde -> Check schlägt hart fehl; danach erklärt die KI
+# sie im PR (überspringt sauber ohne Key).
 name: Security
 
 on:
@@ -18,11 +19,11 @@ jobs:
   scan:
     runs-on: eulernest
     container:
-      image: alpine:3.20
+      image: python:3.12-slim
       options: "--memory=768m --memory-swap=1024m"
     steps:
       - name: Tooling
-        run: apk add --no-cache git curl bash tar python3
+        run: apt-get update -qq && apt-get install -y -qq --no-install-recommends git curl ca-certificates tar
 
       - name: Repo auschecken (Auto-Token — Org-Repo braucht Auth; LAN via add-host)
         env: