feat: phase 2 — audit config + update --rollback (closes #63 #64)

Axe 8 (sécurité) :
- am audit : checksums SHA-256 des configs (embarquée, utilisateur,
  locale) stockés dans state.json, croisement avec events.jsonl pour
  dater les changements, détection des modifications manuelles hors de
  am (statut MANUAL), rapport lisible + --json stable (contrat)
- backup automatique avant chaque am update (agent ou --all) : état +
  config utilisateur + répertoires d'installation + shims dans
  <state>/backups/<ts>/ avec manifest.json
- am update --rollback [point] : restaure le dernier backup (ou un id
  précis, préfixe accepté), arrête les agents concernés d'abord,
  événement EventKind::Rollback journalisé
- am update --rollback list : liste les points de restauration
- rétention settings.backups_keep (défaut 5) appliquée après chaque backup
- événements EventKind::Backup / EventKind::Rollback pour l'audit

REPL : commande audit + update --rollback (parse, complétion), help specs,
tip cheat sheet, man pages régénérées (50 pages). Version 0.4.6,
ROADMAP cases cochées, 272 tests verts.

src/cli.rs

@@ -175,6 +175,8 @@ pub enum Command {
     /// Manage secrets in the OS keyring (never in plaintext config)
     #[command(subcommand)]
     Secret(SecretCmd),
+    /// Audit the configuration: who changed what, when (issue #63)
+    Audit,
     /// List local models (ollama, llama.cpp, LM Studio) and prune unused ones
     Models(ModelsArgs),
     /// Manage remote catalogs: update the official one, add external ones
@@ -320,6 +322,10 @@ pub enum Command {
         /// Update every installed managed agent
         #[arg(long)]
         all: bool,
+        /// Roll back to a pre-update backup instead of updating
+        /// ("latest" or a backup id; "--rollback list" shows them)
+        #[arg(long, num_args = 0..=1, default_missing_value = "latest")]
+        rollback: Option<String>,
     },
     /// Search the catalog by keyword (name, description, category, tags)
     Search {