ci: pinea anthropic y corre la suite DENTRO de la imagen

Tres piezas de un mismo agujero: ningún test de este repo había visto nunca las
librerías que ejecuta el bot.

1. **El pin.** `anthropic>=0.40.0` era el ÚNICO suelo del fichero — todo lo demás
   ya estaba pinneado exacto, y medido con `pip freeze` dentro del pod, todo lo
   pinneado cuadra. Ese suelo dejó entrar la 1.2.0, una versión MAYOR, sin un
   commit: quitó `temperature` de `messages.create` y rompió el reintento del SEO
   (32f0b2c). 1.2.0 es lo que ya corre, así que el pin no cambia producción:
   la escribe. Evidencia de compatibilidad del propio pod: convive con
   httpx 0.28.1, pydantic 2.13.4 y aiohttp 3.14.1.

2. **La suite en la CI, dentro de la imagen construida.** `Dockerfile.test` parte
   del tag recién publicado, así que los tests ven EXACTAMENTE lo que se
   despliega. Va antes de actualizar los manifiestos: si falla, no se despliega.
   `tests/` no hace falta copiarlo, el runtime ya hace `COPY . .`.
   `TELEGRAM_BOT_TOKEN` de mentira porque es obligatorio y en la imagen no hay
   `.env` — comprobado que la suite entera pasa sólo con eso.

3. **El barrido, que cierra la clase y no el caso.** `tests/test_sdk_contract.py`
   lee con `ast` TODAS las llamadas a `messages.create` del árbol y compara sus
   kwargs con la firma del SDK instalado. Comprobar sólo el sitio arreglado
   habría dejado los otros ocho a ciegas.

⚠️ Los dos guardianes nuevos NO pueden fallar en un portátil con anthropic
0.102.0: ahí `temperature` sigue en la firma. Verificados a mano dentro del pod
contra 1.2.0 — inyectando la avería en una copia aislada, el barrido la caza; con
el código real, las nueve llamadas pasan. Es el pin + la CI lo que los convierte
en pruebas y no en gestos.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01EHakatofHeJAzdXL26Q5bq

Dockerfile.test

@@ -0,0 +1,22 @@
+# La imagen de runtime más los corredores de la suite.
+#
+# Parte de la imagen que se acaba de construir, no del árbol de fuentes, para
+# que los tests vean las MISMAS librerías que se despliegan. Sin esto la suite
+# corría en el portátil contra anthropic 0.102.0 mientras el pod ejecutaba
+# 1.2.0, y así es como un `temperature` que el SDK ya no aceptaba vivió meses
+# de reintentos que nunca ocurrieron.
+#
+# `tests/` no hace falta copiarlo: el Dockerfile de runtime hace `COPY . .` y ya
+# viaja dentro.
+ARG BASE
+FROM ${BASE}
+
+RUN pip install --no-cache-dir pytest==9.0.3 pytest-asyncio==1.4.0
+
+# `settings.telegram_bot_token` es obligatorio y en la imagen no hay `.env`:
+# sin esto la suite no llega ni a recolectar. Es un valor de mentira a propósito
+# — ningún test habla con Telegram.
+ENV TELEGRAM_BOT_TOKEN=ci-dummy
+ENV PYTEST_ADDOPTS="-p no:cacheprovider"
+
+CMD ["python", "-m", "pytest", "tests", "-q"]