Ergänzt das tag security-refactor-2026-05-14 um Medium-Befunde aus
dem Review:

Atomic Writes & Locks
- oauth/broker: asyncio.Lock + atomic tmp+os.replace
- model_vram_cache: threading.Lock auf allen RMW-Pfaden + atomic save
- session_storage._save_accounts: atomic tmp+os.replace
- security._RateTracker: threading.Lock
- vllm_manager: lifecycle Lock + _stop_sync_locked
- tts_engine_manager: per-engine Stop-Thread Dict statt Single-Slot

Korrektheit
- security._strip_html: Exception-Fallback auf Regex-Strip
- search_tools: requests.exceptions.RequestException auch fangen
- base.py: tool_calls bei finish_reason="length" verwerfen
- vector_cache._update_sync: add-before-delete
- vector_cache._query_*: count()-Preflight entfernt
- calibration/projection.py: GPU-Label optional, kein Collapse auf GPU0
- calibration/flow.py: Bottleneck-Slope statt Summen-Slope beim Shrink