feat(ai-workspace): add local relay profiles

infra/synology/README.md

@@ -171,6 +171,44 @@ TASKER_SYNC_SOURCE=1 ./infra/synology/deploy-current.sh
 
 Если emergency-fix был сделан прямо на Synology в этих env-файлах, перенести sanitized-значение в `.env.synology.example`/docs, а секрет оставить только в live env.
 
+## AI Hub relay-only deploy
+
+Для локального тестирования с внешней Codex-машиной нельзя деплоить Launcher, Engine, Ops, Authentik или Tasker. Единственная допустимая удалённая точка в этой схеме — `ai-workspace-hub`, потому что удалённый worker должен иметь публичный WebSocket/HTTP relay.
+
+С Mac, при смонтированном `/Volumes/docker`, синхронизировать только Hub source, compose и узкий apply-script:
+
+```bash
+cd /Users/dcconstructions/Downloads/mnt/NODEDC/platform
+NAS_ROOT=/Volumes/docker/nodedc-platform ./infra/synology/sync-ai-hub-relay.sh
+```
+
+На Synology применить только `ai-workspace-hub`:
+
+```bash
+ssh dctouch@100.109.216.21 'cd /volume1/docker/nodedc-platform/platform && sudo bash apply-ai-hub-relay.sh'
+```
+
+Этот путь намеренно делает только:
+
+- build `nodedc/ai-workspace-hub:local`;
+- `docker compose up -d --no-deps --force-recreate ai-workspace-hub`;
+- container health check;
+- проверку `/api/ai-workspace/hub/v1/assistant-relays/<relayId>/poll`;
+- public route check через `https://ai-hub.nodedc.ru`.
+
+Он не меняет `.env.synology`, не синхронизирует Launcher/Tasker/Ops source, не пересоздаёт Authentik, reverse-proxy, базы, storage или product containers.
+
+После успешного relay-only deploy локальная цепочка для теста должна быть такой:
+
+```text
+local Launcher/Engine/Ops/Auth/Assistant
+  -> deployed AI Hub relay: https://ai-hub.nodedc.ru
+  -> remote Codex worker
+  -> deployed AI Hub relay
+  -> local Assistant relay poll
+  -> local product services
+```
+
 ## Лёгкое обновление Hub / Launcher
 
 Для правок только в Launcher/BFF не пересоздавать Authentik, reverse-proxy, Tasker и Ops Agents: