Chiffrement : les résultats d'outils et les images du fil suivent la mémoire

Les deux reprises d'AJEAN arrivées en parallèle du chiffrement écrivaient
en clair à côté de discussions chiffrées.

- Résultats complets des outils (« voir plus ») : bucket toolres ajouté à
  encryptedBuckets, écrits et relus par putStoreBytes / getStoreBytesErr.
  Mémoire verrouillée : rien n'est écrit, le flux porte le résultat entier.
  Le nettoyage des orphelins ne tourne plus quand la mémoire est
  verrouillée : l'index des discussions revenait vide et TOUT passait pour
  orphelin.
- Images du fil (chatimg/) : même enveloppe que les pages mémoire ;
  verrouillée, l'image reste en base64 dans le message. Elles n'étaient
  jamais effacées : comme un fil rechargé perd ses images (stripImageParts),
  celles de plus de 24 h partent au démarrage et à chaque bascule de
  discussion.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

internal/loki/tool_results_test.go

@@ -40,3 +40,33 @@ func TestTailOutputAnnouncesCut(t *testing.T) {
 		t.Fatalf("mention de coupe absente : %q", out[:60])
 	}
 }
+
+// Mémoire chiffrée : le résultat complet est chiffré en base et relu intact ;
+// verrouillée, rien n'est écrit (le flux portera le résultat entier) et le
+// nettoyage des orphelins ne tourne pas (l'index illisible ferait tout effacer).
+func TestToolResultsChiffres(t *testing.T) {
+	testHome(t)
+	clearMemDEK()
+	if _, err := EnableMemEncryption("motdepasse-fort"); err != nil {
+		t.Fatalf("EnableMemEncryption: %v", err)
+	}
+	full := strings.Repeat("ligne de sortie\n", 500)
+	id := saveToolResult(full)
+	if id == "" {
+		t.Fatal("résultat non enregistré")
+	}
+	if !looksEncrypted(getBytes(bkToolRes, id)) {
+		t.Fatal("résultat en clair alors que la mémoire est chiffrée")
+	}
+	if got, ok := loadToolResult(id); !ok || got != full {
+		t.Fatal("résultat chiffré non restitué à l'identique")
+	}
+	clearMemDEK()
+	if saveToolResult("autre") != "" {
+		t.Fatal("mémoire verrouillée : rien n'aurait dû être écrit")
+	}
+	pruneToolResults()
+	if getBytes(bkToolRes, id) == nil {
+		t.Fatal("le nettoyage a effacé un résultat pendant que la mémoire était verrouillée")
+	}
+}