chore: integrate v0.1 secret tooling

docs/reference/spec-v01-cli.md

@@ -30,6 +30,7 @@ bun scripts/agentrun-cli.ts runs events <runId> --after-seq <n> --limit <n>
 bun scripts/agentrun-cli.ts commands create <runId> --type turn --json-file <payload.json>
 bun scripts/agentrun-cli.ts commands show <commandId>
 bun scripts/agentrun-cli.ts runner start --run-id <runId> --backend <backendProfile>
+bun scripts/agentrun-cli.ts secrets codex render --dry-run [--codex-home <dir>]
 bun scripts/agentrun-cli.ts backends list
 bun scripts/agentrun-cli.ts server start|status|stop|logs
 ```
@@ -41,6 +42,7 @@ bun scripts/agentrun-cli.ts server start|status|stop|logs
 - 查询类命令返回当前 state、terminal_status、failureKind、event cursor 或 logPath。
 - `events` 默认分页且有界，必须支持 `afterSeq` 和 `limit`。
 - `server logs` 返回有界日志摘要，并指向完整日志文件或 Kubernetes pod identity。
+- `secrets codex render --dry-run` 返回 Codex provider Secret 创建计划、输入文件 bytes/hash、SecretRef、manifest 摘要和 apply 命令形状；它不得输出 Secret value 或执行 Kubernetes 写操作。
 
 ## 配置与 Secret 边界