feat(upgrade): add self-update command from Gitea Release

- Add secrets upgrade command: --check to verify, default to download and replace binary
- No database or master key required
- Support tar.gz and zip artifacts from Gitea Release

Made-with: Cursor

AGENTS.md

@@ -23,6 +23,7 @@ secrets/
       update.rs          # update 命令：增量更新，CAS 并发保护，含历史快照
       rollback.rs        # rollback / history 命令：版本回滚与历史查看
       run.rs             # inject / run 命令：临时环境变量注入
+      upgrade.rs         # upgrade 命令：检查并下载最新版本，自动替换二进制
   scripts/
     setup-gitea-actions.sh  # 配置 Gitea Actions 变量与 Secrets
   .gitea/workflows/
@@ -405,6 +406,20 @@ secrets run -n refining --kind service --name gitea -- printenv
 
 ---
 
+### upgrade — 自动更新 CLI 二进制
+
+从 Gitea Release 下载最新版本并替换当前二进制，无需数据库连接或主密钥。
+
+```bash
+# 检查是否有新版本（不下载）
+secrets upgrade --check
+
+# 下载并安装最新版本
+secrets upgrade
+```
+
+---
+
 ### config — 配置管理（无需主密钥）
 
 ```bash