Agent 密钥库 — 审计日志

每次 resolve 一条记录（点任一行看详情）。只记 scope / env 名与命中规则，绝不含机密值或令牌。