feat: phase 2 — audit config + update --rollback (closes #63 #64)

Axe 8 (sécurité) :
- am audit : checksums SHA-256 des configs (embarquée, utilisateur,
  locale) stockés dans state.json, croisement avec events.jsonl pour
  dater les changements, détection des modifications manuelles hors de
  am (statut MANUAL), rapport lisible + --json stable (contrat)
- backup automatique avant chaque am update (agent ou --all) : état +
  config utilisateur + répertoires d'installation + shims dans
  <state>/backups/<ts>/ avec manifest.json
- am update --rollback [point] : restaure le dernier backup (ou un id
  précis, préfixe accepté), arrête les agents concernés d'abord,
  événement EventKind::Rollback journalisé
- am update --rollback list : liste les points de restauration
- rétention settings.backups_keep (défaut 5) appliquée après chaque backup
- événements EventKind::Backup / EventKind::Rollback pour l'audit

REPL : commande audit + update --rollback (parse, complétion), help specs,
tip cheat sheet, man pages régénérées (50 pages). Version 0.4.6,
ROADMAP cases cochées, 272 tests verts.

src/commands/mod.rs

@@ -3,6 +3,7 @@
 pub mod agents_cmd;
 pub mod alias_cmd;
 pub mod annotations_cmd;
+pub mod audit_cmd;
 pub mod catalog_cmd;
 pub mod completion_cmd;
 pub mod config_cmd;
@@ -143,7 +144,10 @@ pub fn execute_command(app: &App, cmd: &Command) -> Result<i32> {
             force,
         } => install_cmd::run(app, agent, method.as_deref(), *force),
         Command::Uninstall { agent, purge } => uninstall_cmd::run(app, agent, *purge),
-        Command::Update { agent, all } => update_cmd::run(app, agent.as_deref(), *all),
+        Command::Update { agent, all, rollback } => {
+            update_cmd::run(app, agent.as_deref(), *all, rollback.as_deref())
+        }
+        Command::Audit => audit_cmd::run(app),
         Command::Search { keyword, category, tag } => {
             search_cmd::run(app, keyword.as_deref(), category.as_deref(), tag.as_deref())
         }